Deutsch
Deutsch
<span><span><span class="hljs-meta"><?php</span></span><span>
</span><span><span class="hljs-comment">// Dieser Teil ist ein Beispiel vor dem Code，Hat nichts mit dem Inhalt des Artikels zu tun</span></span><span>
</span><span><span class="hljs-variable">$timestamp</span></span><span> = </span><span><span class="hljs-title function_ invoke__">time</span></span><span>();
</span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"Der aktuelle Zeitstempel ist：<span class="hljs-subst">$timestamp</span></span></span><span>\n";
</span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-title function_ invoke__">str_repeat</span></span><span>(</span><span><span class="hljs-string">"-"</span></span><span>, </span><span><span class="hljs-number">50</span></span><span>) . </span><span><span class="hljs-string">"\n"</span></span><span>;
</span><span><span class="hljs-meta">?></span></span><span>
--------------------------------------------------
existieren PHP In der Entwicklung，Bei der Verarbeitung von Benutzereingabedaten，Die Datensicherheit ist entscheidend。Vor allem in Szenarien mit Datenbankoperationen，Zum Beispiel die Einreichungen von Benutzern verarbeiten ID。Wenn die von Benutzer bereitgestellten Daten direkt in die Datenbank eingefügt werden，Es ist leicht zu verursachen SQL Injektion oder logische Verwundbarkeit。Für reine Zahlen ID，PHP Bietet eine sehr bequeme Funktion `</span><span><span class="hljs-title function_ invoke__">ctype_digit</span></span><span>()`，Kann die Sicherheit der Überprüfung effektiv verbessern。
</span><span><span class="hljs-comment">### 1. `ctype_digit()` Was ist das？</span></span><span>
`</span><span><span class="hljs-title function_ invoke__">ctype_digit</span></span><span>()` Ja PHP Integrierte Funktionen，用于检查字符串Ja否全部由数字字符组成。Seine Syntax ist wie folgt：
```php
</span><span><span class="hljs-keyword">bool</span></span><span> </span><span><span class="hljs-title function_ invoke__">ctype_digit</span></span><span>(</span><span><span class="hljs-keyword">string</span></span><span> </span><span><span class="hljs-variable">$text</span></span><span>)
</span></span>Return true , um anzuzeigen, dass jedes Zeichen in der Zeichenfolge eine Zahl ( 0-9 ) ist.
Rückgabe falsch , um anzuzeigen, dass die Zeichenfolge nicht numerische Zeichen oder eine leere Zeichenfolge enthält.
Es ist zu beachten, dass ctype_digit () nur String -Typen akzeptiert. Wenn ein ganzzahliger Typ übergeben wird, gibt er falsche zurück, sodass die Eingabe vor der Überprüfung in eine Zeichenfolge umwandelt werden muss.
Angenommen, wir haben eine Benutzer -ID über den GET -Parameter übergeben:
<span><span><span class="hljs-variable">$userId</span></span><span> = </span><span><span class="hljs-variable">$_GET</span></span><span>[</span><span><span class="hljs-string">'id'</span></span><span>] ?? </span><span><span class="hljs-string">''</span></span><span>;
</span></span>Wenn Sie $ userID direkt für die Datenbankabfrage verwenden, kann dies zu Sicherheitsrisiken führen:
<span><span><span class="hljs-variable">$sql</span></span><span> = </span><span><span class="hljs-string">"SELECT * FROM users WHERE id = <span class="hljs-subst">$userId</span></span></span><span>"; </span><span><span class="hljs-comment">// Unsicher</span></span><span>
</span></span>Die richtige Möglichkeit, dies zu tun, besteht darin, zu überprüfen, ob die ID eine reine Zahl ist:
<span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">ctype_digit</span></span><span>(</span><span><span class="hljs-variable">$userId</span></span><span>)) {
</span><span><span class="hljs-comment">// Sicherheit：Kann mit Zuversicht verwendet werden</span></span><span>
</span><span><span class="hljs-variable">$sql</span></span><span> = </span><span><span class="hljs-string">"SELECT * FROM users WHERE id = <span class="hljs-subst">$userId</span></span></span><span>";
</span><span><span class="hljs-comment">// Datenbankabfrage durchführen</span></span><span>
} </span><span><span class="hljs-keyword">else</span></span><span> {
</span><span><span class="hljs-comment">// Illegale Eingabe</span></span><span>
</span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"Illegaler Benutzer ID！"</span></span><span>;
}
</span></span>Auf diese Weise wird auch wenn der Benutzer böswillige Inhalte wie '1 oder 1 = 1' betritt, und wird von CTYPE_DIGIT () abgefangen, wodurch das Risiko einer SQL -Injektion vermieden wird.
Viele Entwickler können is_numeric () verwenden, um Zahlen zu beurteilen, unterscheidet sich jedoch erheblich von CTYPE_DIGIT () :
is_numeric () betrachtet auch die Zeichenfolge "1.23" oder "-123" als Zahl.
CTYPE_DIGIT () erlaubt nur reine Ganzzahl -Saiten und kann keine winus Zeichen oder Dezimalpunkte haben.
Daher ist ctype_digit () strenger und sicherer, wenn sie mit Datenbank -Primärschlüssel wie ID zu tun haben.
In praktischen Anwendungen ist es in der Regel möglich, die String -Typ -ID nach Überprüfung in eine Ganzzahl umzuwandeln, um die Sicherheit weiter zu gewährleisten:
<span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">ctype_digit</span></span><span>(</span><span><span class="hljs-variable">$userId</span></span><span>)) {
</span><span><span class="hljs-variable">$safeId</span></span><span> = (</span><span><span class="hljs-keyword">int</span></span><span>)</span><span><span class="hljs-variable">$userId</span></span><span>; </span><span><span class="hljs-comment">// In den Ganzzahltyp konvertieren</span></span><span>
</span><span><span class="hljs-variable">$sql</span></span><span> = </span><span><span class="hljs-string">"SELECT * FROM users WHERE id = <span class="hljs-subst">$safeId</span></span></span><span>";
}
</span></span>Auf diese Weise besteht auch wenn die Datenbank Abfragen ausführt, kein Einspritzrisiko, das durch String -Spleißen verursacht wird.
cType_digit () ist ein Sicherheitsüberprüfungswerkzeug zum Umgang mit reinen digitalen IDs.
Es ist strenger als is_numeric () und vermeiden illegale Zeichen wie minus Zeichen und Dezimalstellen.
Nachdem die Überprüfung bestanden wurde, kann es in Kombination mit einer starken Konvertierung zur Verbesserung der Datensicherheit verwendet werden.
Die Verwendung kann illegale Dateneinspritzung effektiv verhindern und die Sicherheit und Stabilität Ihrer Anwendung verbessern.
Mit einer einfachen CTYPE_Digit () -Verifizierung ist es möglich, die vom Benutzer eingegebene reine digitale ID in den meisten Szenarien sicher zu verarbeiten, was sowohl bequem als auch effizient ist.
<span></span>
