安全验证5位数值的php表单字段

Question

我有一个功能正常的表单页，用户可以根据用户名更新其邮政编码，并将其保存为会话变量。

除了此新功能验证邮政编码以外的所有工作。我有html5模式，因此如果他们输入4位数字，它会提示他们遵循5位数字格式。然而，我需要在服务器端安全地进行验证。

我选择了正则表达式来匹配0到9之间的5个数字，并且我将它嵌套在if语句中如果我输入123作为邮政编码，它仍然可以成功提交

显然，我只需要提交它是否是5位数字，否则打印出错信息。我想知道，如果它的东西，在我的结构或语法

下面的代码，感谢您的帮助：

if (isset($_SESSION['missingZipUser'])) { 

if(!preg_match("/^[0-9]{5}$/", $_POST['zip'])) { 
echo "The ZIP code must be a 5-digit number."; 
}else{ 

    //Query for updating main table first 
    $sql = " UPDATE " . table. " 
     SET zip= ? 
     WHERE uname ?"; 
    $stmt = odbc_prepare($connect, $sql); 
    $success = odbc_execute($stmt, array($_POST['zip'], 
    $_SESSION['missingZipUser'])); 

    //Query for updating both fields in secondary table 
    $sql2 = " UPDATE " . table. " 
     SET zip1= ?, zip2= ? 
     WHERE uname= ?"; 
    $stmt2 = odbc_prepare($connect, $sql2); 
    $success2 = odbc_execute($stmt2, array($_POST['zip'], $_POST['zip'], 
    $_SESSION['missingZipUser'])); 
} 
} 

UPDATE 与下面的一些注释相反，更新代码仍然将信息传递成功。

Answer 1

只是解决你的病情，你是好去：

if (isset($_SESSION['missingZipUser']) && isset($_POST['zip'])) { 
    if (is_string($_POST['zip']) && 1 === preg_match("/^[0-9]{5}$/", $_POST['zip'])) { 
     // update record in database 
    } else { 
     echo "The ZIP code must be a 5-digit number."; 
    } 
} 

您还可以简化您的正则表达式：

if (isset($_SESSION['missingZipUser']) && isset($_POST['zip'])) { 
    if (is_string($_POST['zip']) && 1 === preg_match("/^\d{5}$/", $_POST['zip'])) { 
     // update record in database 
    } else { 
     echo "The ZIP code must be a 5-digit number."; 
    } 
} 

备注正如所指出的那样，您的原始简体正则表达式仅验证字符串是否为5位数字。并非所有的5位数字都是有效的邮政编码。

Answer 2

在PHP中，如果所有字符都是数字，则可以使用ctype_digit()来检查字符串，并检查长度是5个字符的strlen()。由于@smarx pointed out，如果$_POST['zip']不是邮政编码，您应该不要向数据库中插入任何内容。另外，在使用它之前，您应该检查是否已经设置了$_POST['zip']。

下面是使用上述方法的例子，

if (isset($_SESSION['missingZipUser'])) { 
    if (isset($_POST['zip'])) { 
    if (ctype_digit($_POST['zip']) && strlen($_POST['zip']) === 5) { 
     //Query for updating main table first 
     $sql = " UPDATE " . table. " 
      SET zip= ? 
      WHERE uname ?"; 
     $stmt = odbc_prepare($connect, $sql); 
     $success = odbc_execute($stmt, array($_POST['zip'], 
     $_SESSION['missingZipUser'])); 

     //Query for updating both fields in secondary table 
     $sql2 = " UPDATE " . table. " 
      SET zip1= ?, zip2= ? 
      WHERE uname= ?"; 
     $stmt2 = odbc_prepare($connect, $sql2); 
     $success2 = odbc_execute($stmt2, array($_POST['zip'], $_POST['zip'], 
     $_SESSION['missingZipUser'])); 
    } else { 
     echo "The ZIP code must be a 5-digit number."; 
    } 
    } 
} 

现在，为了测试的方式，如果你有一个有效的邮政编码是使用邮政编码查询服务。一个自由的一个被称为Zippopotam以下是其使用的一个例子，

Run it here

function valid_zip($zip_code) { 
    $data = file_get_contents("https://api.zippopotam.us/us/$zip_code"); 
    $data_decoded = json_decode($data); 
    return (property_exists($data_decoded, 'post code')) ? true : false; 
} 

var_dump('60007 is ',valid_zip(60007)); 
var_dump('6000 is ',valid_zip(6000));