Sanitizing Integer Database Input

Question

Tengo una aplicación que toma datos a través de una solicitud POST. Estoy usando esta información para insertar una nueva fila en la base de datos. Sé que usar mysql_real_escape_string() (más eliminar% y _) es el camino a seguir para las cadenas, pero ¿qué pasa con los valores enteros? En este momento, estoy usando la función PHP intval() en ellos.

Sin embargo, quería asegurarme de que intval() es perfectamente seguro. No veo la forma en que un atacante realice un ataque de inyección SQL cuando las variables se ejecutan primero a través de intval() (ya que siempre devuelve un número entero), pero quería asegurarme de que este es el caso de personas que tienen más experiencia que yo

Gracias.

Answer 1

Sí, intval() es seguro. No hay absolutamente ninguna manera de realizar una inyección SQL cuando el parámetro se convierte a entero, porque (obviamente) el formato de un entero no permite poner palabras clave SQL (o citas, o lo que sea) en él.

Answer 2

La forma más fácil de evitar la inyección de SQL es usar siempre declaraciones preparadas. Utilizar las bibliotecas mysqli o mejor aún un ORM como doctrina etc.

Sus consultas se convierten en algo así como:

$stmt = $db->prep_stmt("select * from .... where userid = ? and username = ?"); 

/* Binding 2 parameters. */ 
$stmt->bind_param("is", $userid, $username); 

$userid = 15; 
$username = "don"; 

/* Executing the statement */ 
$stmt->execute() or die ("Could not execute statement"); 

Answer 3

hago siempre

$var = (int)$_POST['var']; 

para asegurarse de que $ var se maneja como un entero en todas las circunstancias, y nunca vuelva a mirar $ _POST ['var']. Mirando el manual, intval() hace exactamente lo mismo.

Cualquiera que sea el camino que tome, en subsequence $ var será un número entero real, que es bastante seguro de manejar.

Answer 4

La declaración preparada es la mejor forma de administrar la inyección sql. o use PDO de lo contrario, intval es mejor que is_numeric