隠し入力値を常に整数に消す

Question

隠し入力のあるフォームは、コードに自動的に割り当てられる値として整数を持ちます。

<form action=""> 
    <input name="pageNum" type="hidden" value="1"> 
</form> 

どのように私は値が常に指定された整数であることをことをサニタイズすることができますか？要求の値の後に'を追加して、SQLインジェクションを行うように誰かがリクエストを変更した場合でも。これは実際のケースであるため、SQLインジェクションのセキュリティインシデントとして、テストを行った後、誰かがSQLインジェクションのセキュリティインシデントとして報告しました。しかし、1は1\ 'になり、1\'は1の配列に存在しないため、私のコードが壊れます。

$pageNumber = $_POST['pageNum']; 

if (!is_int($pageNumber)) { // $pageNumber = "1\'" for this example 
    // what can I do to make it 1 again? 
} 

私はこれをどのように達成できるのでしょうか？これにより、コード内で内部サーバーエラーが発生し、SQLインジェクションセキュリティの脆弱性であると思うようになります。

Answer 1

あなたはこれが単なる文字列に数値を抽出し、$番号の内側にそれを置く

Answer 2

$pageNumber = "1\'"; 
preg_match("|\d+|", $pageNumber, $number); 
var_dump($number); 

INTVAL（$ページ番号）を試みることができます。

Answer 3

数字の解析はちょっと難しいですが、テキストに他の数字があると、解析する数字がわからないためです。 （たとえば、1\2、＃1または2を解析しますか？）

最も簡単な解決策は、解析できない場合はページのデフォルトを整数にすることです。例えば

：誰もがPOST変数を改ざんされた場合はそれだけでいつもis_int()を文字列を入力している1.

Answer 4

$_POST値をデフォルトうとして、彼らはトリッキーな何もできないので、

if (!is_int($pageNum)) 
    $pageNum = 1; 

動作しません。

if (!is_numeric($pageNumber)) { // $pageNumber = "1\'" for this example 
    $pageNumber = '1'; 
} 

をしかし、あなたはそれが整数でなければなりません知っているので、それがない場合は数字で始まるか0場合、これは適切な番号を取得します：：ちょうどis_numeric()をチェック

$pageNumber = (int)$_POST['pageNum']; 

あなたが確実にできません恐ろしいことから正しいページ番号を解析してください。また、誰かがあなたのサーバーをハックしようとしている場合は、正しいページ番号を与えることに気を付けるべきではありません。

Answer 5

filter_var関数を使用できます。例： filter_var（$ your_integer_value、FILTER_VALIDATE_INT、$ options）;

このリンクを参照してください：http://php.net/manual/en/function.filter-var.php