消毒一個POST陣列INSERT查詢

Question

上午SO，

我有一個複選框陣列（名稱=「貓[]」），其中在現有的，包含六個值，1- 6（它可以包含更多的表單在將來）。用戶可以選擇其中的任意數量。

$_SESSION['cat'] = $_POST['cat']; 

（他們是在一個會話，因爲有一兩步實際插入查詢之前）

我想要做的是它們進行消毒：

然後將這些值在收集。我已經嘗試

$_SESSION['cat'] = (int)$_POST['cat']; 

但是，似乎剝奪了它的所有值。

有人可以幫助使用適當的方法消毒這個安全插入數據庫？

在此先感謝一如既往， 丹

Answer 1

簡單的解決方案

$values = array_map('intval',$_POST['cat']); 

但是，這將導致以0代替，而不是刪除所有非整數值。

更好的解決方法是使用prepared statments（我累了，告訴它在每個崗位關於MySQL插入... :)），像這樣：

$stmt = $pdo->prepare("*your query with params replaced with ?*"); 
foreach ($_POST['cat'] as $cat){ 
    //check that $cat is integer. 
    if ($cat === 0 || (!empty(intval($cat))) 
     $stmt->execute(array($cat)); 
} 

這種方式，您將有雙重保護：你檢查int自己和PDO在sql語句中正確使用它。

Answer 2

如果以安全你的意思是所有的整數：

foreach ($_POST['cat'] as $key => $value) { 
    $_SESSION['cat'][] = int()$value; 
} 

否則，您可以用mysql_real_escape_string($value)更換int()$value。

固定錯字

Answer 3

不$_POST['cat']有什麼樣的價值觀？我假設你想要它是一個整數，但如果它不是，它會在輸出到int時吐出零。

確保您的HTML中的value=""實際上包含整數。沒有複選框HTML，我不能說更多。

Answer 4

您可以使用mysql_real_escape_string來確保字符串不會生成SQL錯誤，然後使用php intval函數確保從字符串中獲取整數值。

Answer 5

PHP：

if ($_POST['submit']) { 
    foreach ($_POST['cat'] as $key => $value) { 
     $_SESSION['cat'][] = intval(mysql_real_escape_string($value)); 
    } 
} 

if (isset($_SESSION['cat'])) { 
    foreach($_SESSION['cat'] as $cat) { 
     echo "Cat: $cat<br />"; 
    } 
} 

HTML：

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>"> 
    1 <input name="cat[]" type="checkbox" value="1" /><br /> 
    2 <input name="cat[]" type="checkbox" value="2" /><br /> 
    3 <input name="cat[]" type="checkbox" value="3" /><br /> 
    <input type="submit" value="submit" name="submit" /> 
</form>