前兩天朋友的一個網站上有人利用php注入提交flash游戲分數，後來找原因才發現是有一位參數沒有做數字判斷導致。
本來保存游戲分數是 game.php?ac=save&fgid=1這個形式來實現，在php網頁裡面fgid直接調用，沒有做任何的過濾。很多人利用在fgid=1後面加一個字母(fgid=1a)，來實現一些非法操作。
假如 gamlist table 裡面有一個游戲 fgid為102
select gname from gamelist where fgid='102′;
select gname from gamelist where fgid='102a';
這樣都可以成功的找到游戲名字gname，這就給很多人提供了可乘之機
建議大家對關鍵的參數必須做過濾。如數字正則過濾
復制代碼 代碼如下:
if(preg_match("/^\d*$/",$fgid)) echo('是數字');
else echo('不是數字');
或者用函數
復制代碼 代碼如下:
if(is_numeric($fgid)) echo('是數字');
else echo('不是數字');
網上用來判斷id是否為數字的方法
復制代碼 代碼如下:
$cid = empty($cid)? 1 : intval(preg_replace("/[^-\d]+[^\d]/",'', $cid));
這兩種方法的區別是 is_numeric小數也會認為是數字，而前面正則會把小數點當作字符。
附一些常用的正則運算：
驗證數字：^[0-9]*$
驗證n位的數字：^\d{n}$
驗證至少n位數字：^\d{n,}$
驗證m-n位的數字：^\d{m,n}$
驗證零和非零開頭的數字：^(0|[1-9][0-9]*)$
驗證有兩位小數的正實數：^[0-9]+(.[0-9]{2})?$
驗證有1-3位小數的正實數：^[0-9]+(.[0-9]{1,3})?$
驗證非零的正整數：^\+?[1-9][0-9]*$
驗證非零的負整數：^\-[1-9][0-9]*$
驗證非負整數（正整數 + 0） ^\d+$
驗證非正整數（負整數 + 0） ^((-\d+)|(0+))$
驗證長度為3的字符：^.{3}$
驗證由26個英文字母組成的字符串：^[A-Za-z]+$
驗證由26個大寫英文字母組成的字符串：^[A-Z]+$
驗證由26個小寫英文字母組成的字符串：^[a-z]+$
驗證由數字和26個英文字母組成的字符串：^[A-Za-z0-9]+$
驗證由數字、26個英文字母或者下劃線組成的字符串：^\w+$
驗證用戶密碼:^[a-zA-Z]\w{5,17}$ 正確格式為：以字母開頭，長度在6-18之間，只能包含字符、數字和下劃線。
驗證是否含有 ^%&‘,;=?$\” 等字符：[^%&‘,;=?$\x22]+
驗證漢字：^[\u4e00-\u9fa5],{0,}$
驗證Email地址：^\w+[-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$
驗證InternetURL：^http://([\w-]+\.)+[\w-]+(/[\w-./?%&=]*)?$ ；^[a-zA-z]+://(w+(-w+)*)(.(w+(-w+)*))*(?S*)?$
驗證電話號碼：^(\(\d{3,4}\)|\d{3,4}-)?\d{7,8}$：–正確格式為：XXXX-XXXXXXX，XXXX-XXXXXXXX，XXX-XXXXXXX，XXX-XXXXXXXX，XXXXXXX，XXXXXXXX。
驗證身份證號（15位或18位數字）：^\d{15}|\d{}18$
驗證一年的12個月：^(0?[1-9]|1[0-2])$ 正確格式為：“01”-“09”和“1”“12”
驗證一個月的31天：^((0?[1-9])|((1|2)[0-9])|30|31)$ 正確格式為：01、09和1、31。
整數：^-?\d+$
非負浮點數（正浮點數 + 0）：^\d+(\.\d+)?$
正浮點數 ^(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*))$
非正浮點數（負浮點數 + 0） ^((-\d+(\.\d+)?)|(0+(\.0+)?))$
負浮點數 ^(-(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*)))$
浮點數 ^(-?\d+)(\.\d+)?
