Насколько безопасно?

Question

[jasonOk]

Использую PDO (bindParam) и все данные фильтрую через filter_var() FILTER_SANITIZE_NUMBER_INT либо FILTER_SANITIZE_STRING.
Достаточно ли этого для безопасности? Не требуется ли дополнительно делать htmlspecialchars, например?

Answer 1

[Mikhail Osher]

Достаточно, Всё хорошо. Кстати, PDO тоже умеет.

$stmt->bindParam(':id', $id, PDO::PARAM_INT); // PDO::PARAM_STR по-умолчанию

htmlspecialchars нужно использовать только при выводе данных в браузер, когда в них может находится контент, присланный пользователем (untrusted content), либо в других случаях, когда нужно проэкранировать вывод.

Answer 2

[xmoonlight]

Я всегда делаю свой regex-фильтр для успокоения души: мало ли что?!

Comments

[Сергей Протько]

а я не парюсь - у меня все это хэндлит моя ORM + валидация данных запроса + констрейты бизнес логики.

[xmoonlight]

Сергей Протько: Однозначно! У меня - так же...
Я просто суть процесса написал: без лишних PR-слов...