前兩天朋友的一個網(wǎng)站上有人利用php注入提交flash游戲分數(shù)，后來找原因才發(fā)現(xiàn)是有一位參數(shù)沒有做數(shù)字判斷導致。

本來保存游戲分數(shù)是 game.php?ac=save&fgid=1這個形式來實現(xiàn)，在php網(wǎng)頁里面fgid直接調(diào)用，沒有做任何的過濾。很多人利用在fgid=1后面加一個字母(fgid=1a)，來實現(xiàn)一些非法操作。

假如  gamlist table 里面有一個游戲  fgid為102
select gname from gamelist where fgid='102′;
select gname from gamelist where fgid='102a';
這樣都可以成功的找到游戲名字gname，這就給很多人提供了可乘之機

建議大家對關(guān)鍵的參數(shù)必須做過濾。如數(shù)字正則過濾

<?php
$fgid="123";
if(preg_match("/^\d*$/",$fgid))  echo('是數(shù)字');
else  echo('不是數(shù)字');

或者用函數(shù)

if(is_numeric($fgid)) echo('是數(shù)字');
else echo('不是數(shù)字');

網(wǎng)上用來判斷id是否為數(shù)字的方法

$cid = empty($cid)? 1 : intval(preg_replace("/[^-\d]+[^\d]/",'', $cid));

這兩種方法的區(qū)別是  is_numeric小數(shù)也會認為是數(shù)字，而前面正則會把小數(shù)點當作字符。

附一些常用的正則運算：

驗證數(shù)字：^[0-9]*$
驗證n位的數(shù)字：^\d{n}$
驗證至少n位數(shù)字：^\d{n,}$
驗證m-n位的數(shù)字：^\d{m,n}$
驗證零和非零開頭的數(shù)字：^(0|[1-9][0-9]*)$
驗證有兩位小數(shù)的正實數(shù)：^[0-9]+(.[0-9]{2})?$
驗證有1-3位小數(shù)的正實數(shù)：^[0-9]+(.[0-9]{1,3})?$
驗證非零的正整數(shù)：^\+?[1-9][0-9]*$
驗證非零的負整數(shù)：^\-[1-9][0-9]*$
驗證非負整數(shù)（正整數(shù) + 0）  ^\d+$
驗證非正整數(shù)（負整數(shù) + 0）  ^((-\d+)|(0+))$
驗證長度為3的字符：^.{3}$
驗證由26個英文字母組成的字符串：^[A-Za-z]+$
驗證由26個大寫英文字母組成的字符串：^[A-Z]+$
驗證由26個小寫英文字母組成的字符串：^[a-z]+$
驗證由數(shù)字和26個英文字母組成的字符串：^[A-Za-z0-9]+$
驗證由數(shù)字、26個英文字母或者下劃線組成的字符串：^\w+$
驗證用戶密碼:^[a-zA-Z]\w{5,17}$ 正確格式為：以字母開頭，長度在6-18之間，只能包含字符、數(shù)字和下劃線。
驗證是否含有 ^%&‘,;=?$\” 等字符：[^%&‘,;=?$\x22]+
驗證漢字：^[\u4e00-\u9fa5],{0,}$
驗證Email地址：^\w+[-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$
驗證InternetURL：^http://([\w-]+\.)+[\w-]+(/[\w-./?%&=]*)?$ ；^[a-zA-z]+://(w+(-w+)*)(.(w+(-w+)*))*(?S*)?$
驗證電話號碼：^(\(\d{3,4}\)|\d{3,4}-)?\d{7,8}$：–正確格式為：XXXX-XXXXXXX，XXXX-XXXXXXXX，XXX-XXXXXXX，XXX-XXXXXXXX，XXXXXXX，XXXXXXXX。
驗證身份證號（15位或18位數(shù)字）：^\d{15}|\d{}18$
驗證一年的12個月：^(0?[1-9]|1[0-2])$ 正確格式為：“01”-“09”和“1”“12”
驗證一個月的31天：^((0?[1-9])|((1|2)[0-9])|30|31)$    正確格式為：01、09和1、31。
整數(shù)：^-?\d+$
非負浮點數(shù)（正浮點數(shù) + 0）：^\d+(\.\d+)?$
正浮點數(shù)   ^(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*))$
非正浮點數(shù)（負浮點數(shù) + 0） ^((-\d+(\.\d+)?)|(0+(\.0+)?))$
負浮點數(shù)  ^(-(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*)))$
浮點數(shù)  ^(-?\d+)(\.\d+)?

補充一下：

bool is_numeric ( mixed $var )
如果 var 是數(shù)字和數(shù)字字符串則返回 TRUE，否則返回 FALSE。

For example 1:

<?php
  $v = is_numeric ('58635272821786587286382824657568871098287278276543219876543') ? true : false;
  
  var_dump ($v);
?>

The above script will output:

bool(true)

For example 2:

<?php
$str="0";
$strTest=is_numeric(0);
var_dump($strTest);
?>

boolean true 

is_bool();//判斷是否為布爾型
is_float(); //判斷是否為浮點型
is_int(); //判斷是否為整型
is_numeric(); //判斷是否為數(shù)值型
is_string(); //判斷是否為字符串
is_array(); //判斷是否為數(shù)組
is_object(); //判斷是否為對象

function int_str($str){
  if(is_numeric($str)){
    $str = 'm'.$str;
  }
  return $str;
}

我們用intval來判斷用戶輸入的信息是否為數(shù)字,這個可以自動轉(zhuǎn)換成數(shù)字,如果是0,返回的值也是假的,在php判斷用戶輸入的是否為數(shù)字型或是否為數(shù)字型字符串,我們會用到is_numeric與intval函數(shù)來處理.實例代碼如下:

$num = 1; 
$num1 ='1'; 
$str ='abc'; 
if( is_numeric( $num ) ) 
{ 
  echo $num.'是數(shù)字型'; 
} 
//1是數(shù)字型 
if( is_numeric( $num1) ) 
{ 
  echo $num1.'是數(shù)字型'; 
} 
else
{ 
  echo $num1.'不是數(shù)字型'; 
}

//1是數(shù)字型

第二個實例為看還是數(shù)字型呢,這要看php是那類型的語言了,關(guān)鍵是php是弱語言型,所以就會自動把數(shù)字型字符轉(zhuǎn)換成數(shù)字了,實例代碼如下:

if( intval( $str ) ) 
{ 
  echo $str.'是數(shù)字'; 
} 
else
{ 
  echo $str.'不是數(shù)字'; 
} 
//acd不是數(shù)字 
if( intval( $num1 ) ) 
{ 
  echo $num1.'是數(shù)字'; 
} 
else
{ 
  echo $num1.'不是數(shù)字'; 
} 
//1是數(shù)字

這篇文章就介紹到這了，需要的朋友可以參考一下。

最新評論