इंटीजर डाटाबेस इनपुट Sanitizing

Question

मेरे पास एक ऐसा एप्लिकेशन है जो POST अनुरोध के माध्यम से डेटा लेता है। मैं डेटाबेस में एक नई पंक्ति डालने के लिए इस डेटा का उपयोग कर रहा हूँ। मुझे पता है कि mysql_real_escape_string() (प्लस% और _ को हटाने) का उपयोग तारों के लिए जाने का तरीका है, लेकिन पूर्णांक मानों के बारे में क्या है? अभी, मैं उन पर PHP फ़ंक्शन intval() का उपयोग कर रहा हूं।

हालांकि, मैं यह सुनिश्चित करना चाहता था कि intval() पूरी तरह से सुरक्षित है। जब मैं intval() के माध्यम से चर (जैसे यह हमेशा एक पूर्णांक देता है) के माध्यम से चलाया जाता है, तो हम एक एसक्यूएल इंजेक्शन हमले को पूर्ववर्ती करने वाले हमलावर का एक तरीका नहीं देख सकते हैं, लेकिन मैं यह सुनिश्चित करना चाहता था कि यह उन लोगों का मामला है जिनके पास मुझसे अधिक अनुभव है

धन्यवाद।

Answer 1

हाँ, intval() सुरक्षित है। पैरामीटर को पूर्णांक में परिवर्तित होने पर SQL इंजेक्शन करने का बिल्कुल कोई तरीका नहीं है, क्योंकि (स्पष्ट रूप से) एक पूर्णांक का प्रारूप SQL कीवर्ड (या उद्धरण, या जो कुछ भी) डालने की अनुमति नहीं देता है।

Answer 2

एसक्यूएल इंजेक्शन को रोकने का सबसे आसान तरीका हमेशा तैयार नियमों का उपयोग करना है। mysqli पुस्तकालयों ऐसे सिद्धांत आदि के रूप में एक ORM का उपयोग करें या बेहतर अभी तक

आपका प्रश्नों तो बन कुछ की तरह:

$stmt = $db->prep_stmt("select * from .... where userid = ? and username = ?"); 

/* Binding 2 parameters. */ 
$stmt->bind_param("is", $userid, $username); 

$userid = 15; 
$username = "don"; 

/* Executing the statement */ 
$stmt->execute() or die ("Could not execute statement"); 

Answer 3

मैं हमेशा

$var = (int)$_POST['var']; 

यकीन है कि $ वर के रूप में नियंत्रित किया जाता है बनाने के लिए क्या सभी परिस्थितियों में एक पूर्णांक, और फिर कभी भी $ _POST ['var'] को न देखें। मैनुअल को देखते हुए, अंतराल() बिल्कुल वही करता है।

जिस भी तरह से आप जाते हैं, बाद में $ var एक वास्तविक पूर्णांक होगा, जो संभालने के लिए काफी सुरक्षित है।

Answer 4

तैयार स्टेटमेंट एसक्यूएल इंजेक्शन को सौदा करने का सबसे अच्छा तरीका है। या अन्यथा पीडीओ उपयोग करते हैं, intval is_numeric