[Corvin]

Was genau meinst du ?

[Jann Hendrik]

Ich würde auch eine Zahl auf ihre Gültigkeit hin prüfen, wenn sich so zB umgehen lässt, dass man sofort Admin wird.
Kommt also auf die Anwendung drauf an.

[Basti]

Du musst dir nur immer die beiden Wertebereiche anschauen, also die Menge der erwünschten Zahlen und die der möglicherweise übergebenen.

Folgende Werte kommen z.B. ein einer Prüfung mit is_numeric() durch und sehen in einem MySQL-Feld vom Typ INT dann so aus:

  5 |   5
1e3 | 100
 -5 |  -5 oder 0, falls UNSIGNED -> Warnung
0xa |   0 -> Warnung

Die ersten beiden Werte sind also korrekt, der dritte, negative Wert kommt nur richtig an, wenn in der Spalte auch negative Werte erlaubt sind. Der hexadezimale Wert 0xa (also dezimal 10) kommt als 0 an, da MySQL von links nach rechts beim ersten Zeichen, das ihm nicht in den Kram passt abbricht (hier also beim x). Bei beiden „Zurechtrückungen“ gibt es eine Warnung.

Und natürlich spielt die Größe der Zahl eine Rolle. Wenn du in ein Feld vom Typ TINYINT (UNSIGNED) eine 256 eingibst, wird eine 255 gespeichert, wieder incl. Warnung. Ein TINYINT (ohne USIGNED-Attribut), das du mit -200 fütterst, wird dir eine -128 speichern.

Schau dir also immer die beiden Wertebereiche an und les vielleicht ein bisschen dazu in den jeweiligen Handbüchern (dass 1e1 oder gar 0xF45aB bei is_numeric() durchkommen – darauf kommt man vielleicht nicht unbedingt von alleine) und dann guckst du halt, ob die potentiell übergebenen Werte auch wirklich reinpassen und, falls nicht entscheidest du eben, ob sie zurechtgebogen oder abgblockt werden sollen.

Basti

[richy]

hui.... wie waere es denn wenn ich sowas machen wuerde?

$userid = (int) $_POST['uid'];

wuerde das gehen und sicherstellen, dass nur "richtige" zahlen uebergeben werden koennen?

[Jann Hendrik]

Nun, die Autoren des Buches sind der Meinung, dass man nicht versuchen sollte Daten valide zu machen, sondern zu prüfen ob sie valide sind.

Wenn Sie nicht valide sind darf ruhig ein Abbruch erfolgen!

[Basti]

Zitat von richy

hui.... wie waere es denn wenn ich sowas machen wuerde?

wuerde das gehen und sicherstellen, dass nur "richtige" zahlen uebergeben werden koennen?

RTFM

http://php.net/manual/en/language.ty...ing.conversion
http://dev.mysql.com/doc/refman/5.1/...-overview.html

Basti