cotizaciones alrededor de valores int en consultas mysql

Question

Tengo el hábito de filtrar la variable enviada por el usuario a través de mi función int que asegura que sea un número (si no devuelve 0) y no se cita la variable en consultas de mysql.

¿Es esa una mala práctica? Creo que decidí hacer esto por motivos de rendimiento. Además, siempre he pensado que los números no se deben poner entre comillas.

Ejemplo:

if($perpage != $user['perpage']){ 
if($perpage == 50 || $perpage == 100 || $perpage == 200){ 
$DB->query("UPDATE users SET perpage=$perpage WHERE id=$user[id]", __FILE__, __LINE__); 
} 
} 

Answer 1

aha! un caso interesante aquí!

1. Tienes razón en general. Siempre es mejor tratar con números números, no cadenas

   • que hace que el código sea más sano y consistente
   • un entorno strict_mode en MySQL, que no permitirá que haces disimular un número como una cadena, si encendido.

2. ¡Pero su implementación de hecho permite una inyección! Dejémoslo para su tarea de encontrar :)

Aquí es una referencia para usted, explicando esta inyección: http://php.net/language.types.type-juggling

es así, me gustaría hacer que su código como este

$perpage = intval($perpage); 
if($perpage != $user['perpage'] && in_array($perpage,array(50,100,200) { 
    $DB->query("UPDATE users SET perpage=$perpage WHERE id=$user[id]"); 
} 

Answer 2

Mientras los valores de reglaje a través del uso del método intval de PHP antes de usarlos, no veo un problema con él. Podrías hacerte algunos favores en el futuro haciendo eso si alguna vez tienes que interactuar con un DB que piensa que las comillas alrededor de los valores int son un error de sintaxis. (Creo que el servidor MS SQL lo hace).