在PHP中可以通過is_numeric函數進行sql注入嗎？

我可以安全地假設（如果我只是獲得一個ID號）is_numeric是否足以阻止SQL注入攻擊？或者是否有可以通過is_numeric傳遞的sql注入方法？在PHP中可以通過is_numeric函數進行sql注入嗎？

這可能是安全的。但這不是避免使用預備語句（PDO）的原因。 – 2012-01-02 21:10:35

你會得到更好的服務，只是做的事：

$id = isset($_GET['id']) ? (int) $_GET['id'] : 0;

這樣就可以避免is_numeric功能的開銷。儘管這兩種方法都足以避免注入（只要你對數據做了某些事情，如果is_numeric返回FALSE）。如果所討論的$ _GET變量不存在，三元運算符還會確保您不會收到E_NOTICE。

2012-01-02 21:10:22 rdlowrey

你能描述函數調用的開銷與三元運算符相比有多高？ – KingCrunch 2012-01-02 21:11:14

@KingCrunch：你不一定要使用這種方法。它不提供驗證輸入的機會。 – 2012-01-02 21:12:05

@KingCrunch我知道'開銷'的爭論可能會引發宗教書呆子的戰爭，但我沒有看到如何避免一個不必要的函數調用永遠不會是壞事。 – rdlowrey 2012-01-02 21:13:22

您可以使用intval或floatval。

2012-01-02 21:09:48 craig1231

不，沒有。但是，請注意，例如is_numeric('0xaf5') == true，因此根據您想實現的目標可能還不夠。

2012-01-02 21:10:31 KingCrunch

回答