Безопасность и обработка переменных

Передаём через форму (исключительно чекбоксы) переменные методом POST.
Достаточно ли:

if( isset ($_POST['color']))
}
$color = "color = '".$_POST['ident_1']."'";
if ($color == '') {unset($color);}
}

Дальше $color идёт как часть запроса MySQL

Или нужно как-то вот так:

if( isset ($_POST['color']))
}
$_POST['color'] = intval($_POST['color']);
$color = "color = '".$_POST['ident_1']."'";
if ($color == '') {unset($color);}
}


Спасибо

(Отредактировано автором: 10 Мая, 2011 - 18:34:16)

это не будет работать
цельная синтаксическая и логическая ошибка!

Работают оба варианта.
Что вы подразумеваете под "не будет работать"?

Doxtor, в POST (равно как и в GET, куки) может придти абсолютно всё, что угодно. Фильтровать всегда.

-----
PostgreSQL DBA

Фильтрую, хотел просто уточнить хватит ли фильтра через inval()

if( isset ($_POST['color']))
}
$_POST['color'] = intval($_POST['color']);
$color = "color = '".$_POST['ident_1']."'";
if ($color == '') {unset($color);}
}

Нужно помнить о том, что все строки, которые не являются числами, будут приведены к 0, переданы в запрос и обработаны. В большинстве случаев это поведение будет некорректным. Поэтому числовые значения нужно сначала проверить, а является ли переданное значение числом.
Для строк используйте mysql_real_escape_string
Еще:
http://ru.php.net/manual/en/func...n.filter-var.php

-----
Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.

Спасибо за ссылку.

Забыл уточнить что value (чекбокса) =1
Если принять это во внимание, достаточно ли intval() ?

2. filter_var($a, FILTER_SANITIZE_NUMBER_INT);
тоже самое вроде... ну применительно к данному конкретному случаю?

(Отредактировано автором: 11 Мая, 2011 - 14:07:21)