intval или quotes

intval или quotes

04.03.2010, 01:43

Seravin

Участник форума

Регистрация: 25.11.2009

Сообщений: 201

С нами: 8663063

Репутация: 226

intval или quotes

Тут вот в чём у меня проблема: читал статью про анти sql-inj, написал там, но никто ничего не написал. Я пытаюсь понять минусы использования такого метода выборки из базы данных.

PHP код:


		
			
$myid=intval($_GET['id']);

$q="SELECT * FROM mytable WHERE id=".myid;

...

и передачи параметра id строкой(даже если поле id числовое):

PHP код:


		
			
$myid=mysql_real_escape_string($_GET['id']);

$q="SELECT * FROM mytable WHERE id=' ".myid." ' ";//без пробелов

...

Идёт всё равно конвертация в числовой тип, обрезая строку начиная с символа с которого не удалось преобразование.
Какой смысл разделять строковые и числовые параметры, если можно строкой.
(скрипт довольно простой, без проверки на magic_quotes, но не в этом смысл)

𝕏 Twitter Reddit Telegram Копировать ссылку

Последний раз редактировалось Seravin; 04.03.2010 в 23:07.. Причина: ошибся чуть)