前两天朋友的一个网站上有人利用php注入提交flash游戏分数，后来找原因才发现是有一位参数没有做数字判断导致。

本来保存游戏分数是 game.php?ac=save&fgid=1这个形式来实现，在php网页里面fgid直接调用，没有做任何的过滤。很多人利用在fgid=1后面加一个字母(fgid=1a)，来实现一些非法操作。

假如  gamlist table 里面有一个游戏  fgid为102

select gname from gamelist where fgid='102′;

select gname from gamelist where fgid='102a';

这样都可以成功的找到游戏名字gname，这就给很多人提供了可乘之机

建议大家对关键的参数必须做过滤，如数字正则过滤

1. <?php 
2. $fgid="123"; 
3. if(preg_match("/^\d*$/",$fgid))  echo('是数字'); 
4. else  echo('不是数字'); 

或者用函数

if(is_numeric($fgid)) echo('是数字');

else echo('不是数字');

网上用来判断id是否为数字的方法

$cid = empty($cid)? 1 : intval(preg_replace("/[^-\d]+[^\d]/",'', $cid));

这两种方法的区别是  is_numeric小数也会认为是数字，而前面正则会把小数点当作字符。

附一些常用的正则运算：

验证数字：^[0-9]*$

验证n位的数字：^\d{n}$

验证至少n位数字：^\d{n,}$

验证m-n位的数字：^\d{m,n}$

验证零和非零开头的数字：^(0|[1-9][0-9]*)$

验证有两位小数的正实数：^[0-9]+(.[0-9]{2})?$

验证有1-3位小数的正实数：^[0-9]+(.[0-9]{1,3})?$

验证非零的正整数：^\+?[1-9][0-9]*$

验证非零的负整数：^\-[1-9][0-9]*$

验证非负整数（正整数 + 0）  ^\d+$

验证非正整数（负整数 + 0）  ^((-\d+)|(0+))$

验证长度为3的字符：^.{3}$

验证由26个英文字母组成的字符串：^[A-Za-z]+$

验证由26个大写英文字母组成的字符串：^[A-Z]+$

验证由26个小写英文字母组成的字符串：^[a-z]+$

验证由数字和26个英文字母组成的字符串：^[A-Za-z0-9]+$

验证由数字、26个英文字母或者下划线组成的字符串：^\w+$

验证用户密码:^[a-zA-Z]\w{5,17}$ 正确格式为：以字母开头，长度在6-18之间，只能包含字符、数字和下划线。

验证是否含有 ^%&‘,;=?$\” 等字符：[^%&‘,;=?$\x22]+

验证汉字：^[\u4e00-\u9fa5],{0,}$

验证Email地址：^\w+[-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$

验证InternetURL：^http://([\w-]+\.)+[\w-]+(/[\w-./?%&=]*)?$ ；^[a-zA-z]+://(w+(-w+)*)(.(w+(-w+)*))*(?S*)?$

验证电话号码：^(\(\d{3,4}\)|\d{3,4}-)?\d{7,8}$：–正确格式为：XXXX-XXXXXXX，XXXX-XXXXXXXX，XXX-XXXXXXX，XXX-XXXXXXXX，XXXXXXX，XXXXXXXX。

验证身份证号（15位或18位数字）：^\d{15}|\d{}18$

验证一年的12个月：^(0?[1-9]|1[0-2])$ 正确格式为：“01”-“09”和“1”“12”

验证一个月的31天：^((0?[1-9])|((1|2)[0-9])|30|31)$    正确格式为：01、09和1、31。

整数：^-?\d+$

非负浮点数（正浮点数 + 0）：^\d+(\.\d+)?$

正浮点数   ^(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*))$

非正浮点数（负浮点数 + 0） ^((-\d+(\.\d+)?)|(0+(\.0+)?))$

负浮点数  ^(-(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*)))$

浮点数  ^(-?\d+)(\.\d+)?

补充一下：

bool is_numeric ( mixed $var )

如果 var 是数字和数字字符串则返回 TRUE，否则返回 FALSE。

For example 1:

1. <?php 
2.   $v = is_numeric ('58635272821786587286382824657568871098287278276543219876543') ? true : false;
3.   var_dump ($v); 
4. ?> 

The above script will output:

bool(true)

For example 2:

1. <?php 
2. $str="0"; 
3. $strTest=is_numeric(0); 
4. var_dump($strTest); 
5. ?> 

boolean true

is_bool();//判断是否为布尔型

is_float(); //判断是否为浮点型

is_int(); //判断是否为整型

is_numeric(); //判断是否为数值型

is_string(); //判断是否为字符串

is_array(); //判断是否为数组

is_object(); //判断是否为对象

1. function int_str($str){ 
2.   if(is_numeric($str)){ 
3.     $str = 'm'.$str; 
4.   } 
5.   return $str; 
6. } 

我们用intval来判断用户输入的信息是否为数字,这个可以自动转换成数字,如果是0,返回的值也是假的,在php判断用户输入的是否为数字型或是否为数字型字符串,我们会用到is_numeric与intval函数来处理.实例代码如下:

1. $num = 1;  
2. $num1 ='1';  
3. $str ='abc';  
4. if( is_numeric( $num ) )  
5. {  
6.   echo $num.'是数字型';  
7. }  
8. //1是数字型  
9. if( is_numeric( $num1) )  
10. {  
11.   echo $num1.'是数字型';  
12. }  
13. else 
14. {  
15.   echo $num1.'不是数字型';  
16. } 
17. //1是数字型 

第二个实例为看还是数字型呢,这要看php是那类型的语言了,关键是php是弱语言型,所以就会自动把数字型字符转换成数字了,实例代码如下:

1. if( intval( $str ) )  
2. {  
3.   echo $str.'是数字';  
4. }  
5. else 
6. {  
7.   echo $str.'不是数字';  
8. }  
9. //acd不是数字  
10. if( intval( $num1 ) )  
11. {  
12.   echo $num1.'是数字';  
13. }  
14. else 
15. {  
16.   echo $num1.'不是数字';  
17. }  
18. //1是数字 

这篇文章就介绍到这了，需要的朋友可以参考一下。

Tags: php正则判断数字

分享到：