Параметр user=0 в index.php: грамотная обработка в PHP

Расширенные примеры обработки параметра user=0

Пример 1: Полный скрипт с гостевым режимом и ролью администратора

<?php
session_start();
require_once 'config.php'; // $pdo

// Определяем пользователя: если не авторизован, то гость
if (!isset($_SESSION['user_id'])) {
    $_SESSION['user_id'] = 0;
    $_SESSION['role'] = 'guest';
}

$currentUserId = $_SESSION['user_id'];
$currentRole = $_SESSION['role'];

// Обработка GET-параметра user (только для административного просмотра профилей)
$targetUserId = $currentUserId;
if (isset($_GET['user']) && $currentRole === 'admin') {
    $raw = $_GET['user'];
    // Строгая проверка: должно быть натуральное число (включая 0)
    if (ctype_digit($raw)) {
        $targetUserId = (int)$raw;
    } else {
        // Логирование попытки / вывод ошибки
        $targetUserId = $currentUserId;
    }
}

// Запрос к БД с prepared statement
$stmt = $pdo->prepare("SELECT id, name, email FROM users WHERE id = ?");
$stmt->execute([$targetUserId]);
$user = $stmt->fetch();

if (!$user) {
    if ($targetUserId === 0) {
        echo "Вы просматриваете гостевой профиль.";
    } else {
        echo "Пользователь не найден.";
    }
} else {
    echo "Профиль: " . htmlspecialchars($user['name']);
}
?>

Результат:
- Для неавторизованного посетителя: "Вы просматриваете гостевой профиль."
- Для администратора с user=0: скорее всего "Пользователь не найден" (если нет id=0) или профиль гостя, если id=0 есть.
- Попытка передать user=abc игнорируется, targetUserId остаётся текущим.

Пример 2: Различие между «гость» и «некорректный параметр» с помощью отдельного флага

<?php
$input = $_GET['user'] ?? null;
$guestFlag = false;
$userId = null;

if ($input === null) {
    // Параметр не передан – гость
    $guestFlag = true;
    $userId = 0;
} elseif (ctype_digit($input) && $input !== '') {
    $userId = (int)$input;
    if ($userId === 0) {
        $guestFlag = true; // явно запрошен гость
    }
} else {
    // Некорректный параметр – тоже гость, но с логом
    error_log("Invalid user parameter: " . $input);
    $guestFlag = true;
    $userId = 0;
}

echo "Guest mode: " . ($guestFlag ? 'включён' : 'выключен') . "\n";
echo "Target ID: " . $userId;
?>

Пример URL: index.php?user=0 -> Guest mode: включён, Target ID: 0
index.php?user=5 -> Guest mode: выключен, Target ID: 5
index.php?user=abc -> Guest mode: включён, Target ID: 0 (с записью в лог)

Пример 3: Использование filter_var с кастомным диапазоном

<?php
$options = [
    'options' => [
        'min_range' => 0,
        'max_range' => PHP_INT_MAX
    ]
];
$user = filter_input(INPUT_GET, 'user', FILTER_VALIDATE_INT, $options);
if ($user === false) {
    // Не целое число от 0 до PHP_INT_MAX
    $user = 0; // по умолчанию гость
}
// $user – гарантированно int от 0

Параметр user=0 проходит валидацию. user=-1, user=3.14, user=abc – возвращает false, затем 0.

Пример 4: Защита от SQL-инъекций при прямом запросе (если нельзя использовать prepared statements)

<?php
$input = $_GET['user'] ?? '';
// Только цифры, не пустая строка
if (!ctype_digit($input)) {
    die('Invalid ID');
}
$id = (int)$input; // теперь абсолютно безопасно для int
$sql = "SELECT * FROM users WHERE id = $id"; // число, не строка
// Но всё равно лучше prepared statement

Передача user=0 даст запрос WHERE id = 0. Безопасно, так как $id - целое, а не строка.

Пример 5: Использование intval с дополнительной проверкой на строгое равенство

<?php
$raw = $_GET['user'] ?? '';
$intVal = intval($raw);
// Проблема: intval('foo') = 0, что неотличимо от '0'.
// Решение: проверить, является ли raw строковым представлением числа
if ((string)$intVal !== $raw) {
    // raw не является числовой строкой, возможно инъекция
    $intVal = 0;
    // дополнительно можно залогировать
}
echo $intVal;
?>

user=0 -> (string)0 === '0' -> true -> $intVal = 0
user=abc -> (string)0 !== 'abc' -> $intVal = 0 (но мы знаем, что пришло не число)
user=0x1A -> (string)0 !== '0x1A' -> $intVal = 0 (указывает на подозрительный ввод)

Пример 6: Работа с массивом пользователей, где id=0 – специальное значение

<?php
$users = [
    0 => ['name' => 'Гость', 'role' => 'guest'],
    1 => ['name' => 'Администратор', 'role' => 'admin'],
];

$targetId = filter_input(INPUT_GET, 'user', FILTER_VALIDATE_INT, ['options' => ['min_range' => 0]]);
if ($targetId === false) {
    $targetId = 0; // по умолчанию гость
}

if (isset($users[$targetId])) {
    echo 'Выбран пользователь: ' . $users[$targetId]['name'];
} else {
    echo 'Пользователь с ID ' . $targetId . ' не найден';
}
?>

index.php?user=0 -> "Выбран пользователь: Гость"
index.php?user=1 -> "Выбран пользователь: Администратор"
index.php?user=2 -> "Пользователь с ID 2 не найден"