Проверка, преобразование и генерация числовых идентификаторов в PHP

Раздел: Разработка на PHP -> Числовые операции и идентификаторы

Числа и идентификаторы в PHP: безопасная работа с числовыми ID

Основное решение: фильтрация входных данных с помощью filter_var и intval

Наиболее надёжный способ получить числовой идентификатор из пользовательского ввода (GET, POST, JSON) - это комбинация фильтрации и приведения к целому типу. Такой подход исключает неявные преобразования и атаки, связанные с передачей нечисловых значений.


$rawId = $_GET['id'] ?? null;
$id = filter_var($rawId, FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 1]
]);
if ($id === false) {
    // Обработка ошибки: невалидный ID
    echo 'Некорректный идентификатор';
} else {
    // Использование $id как целого числа
    echo "Получен ID: $id";
}

Numbers php id (числа и id в php)

Возможные проблемы:

  • Если параметр отсутствует, $rawId станет null, filter_var вернёт false - это следует обрабатывать отдельно.
  • Фильтр FILTER_VALIDATE_INT отвергает строки вида '123abc' и отрицательные числа, если не задан min_range.
  • На 32-битных системах числа больше 2147483647 будут отвергнуты. Для больших значений используйте сравнение с PHP_INT_MAX.

Как проверить строку на то, что она содержит только десятичные цифры?

Вариант с ctype_digit - проверяет, все ли символы строки являются цифрами (0-9). Не подходит для отрицательных чисел и чисел с плавающей точкой, но идеален для ID из базы данных, которые передаются как строки.


$input = '12345';
if (ctype_digit($input) && (int)$input > 0) {
    $id = (int)$input;
} else {
    // Некорректный ввод
}

Ошибка: ctype_digit('0123') вернёт true, но при приведении к int станет 123. Для ID с лидирующими нулями это нормально. Однако ctype_digit('') - false, пустая строка не пройдёт.

Цель использования: быстрый синтаксический анализ строк, заведомо состоящих только из цифр (например, ID, полученные из URL).

Как отсечь все нецифровые символы и получить число?

Использование регулярного выражения '/^\d+$/' в сочетании с preg_match. Позволяет точнее контролировать формат (например, разрешить ведущие нули или ограничить длину).


$input = '0042';
if (preg_match('/^\d{1,10}$/', $input)) {
    $id = (int)$input;
    echo "ID: $id";  // 42
}

Регулярное выражение может быть медленнее на больших объёмах, но даёт гибкость. Ошибочно разрешать символы вроде '+' или '-' без явного указания.

Когда использование is_numeric может быть опасным?

Функция is_numeric возвращает true для чисел с плавающей точкой, шестнадцатеричных строк, научной нотации ('1e3') и даже для пустой строки. Если пропустить такое значение в ID, возникнут логические или SQL-ошибки.


$dangerous = '1e2';
if (is_numeric($dangerous)) {
    $id = (int)$dangerous;  // 100, но это не ошибка, а неожиданное поведение
}

Типичная ошибка: пропустить значение '1.5' как ID, что приведёт к потерям точности или неверному запросу.

Цель: для фильтрации пользовательского ввода is_numeric не подходит; лучше применять filter_var или ctype_digit.

Как безопасно передать числовой ID в SQL запрос?

После проверки на целое положительное число используйте подготовленные выражения PDO. Даже если ID прошёл проверку, вызов в запросе без экранирования может быть подвержен инъекциям через другие части запроса.


$stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$stmt->execute([$id]);

Ошибочно конкатенировать строку запроса с переменной $id после проверки - это не защищает от атаки, если проверка была неверной (например, пропустила строку '0 OR 1=1').

Расширенные примеры работы с числами и ID в PHP

1. Генерация псевдоуникальных числовых ID на основе времени

Пример 

function generateUniqueId(): int {
    // Использование микросекунд и случайного числа
    return (int) (microtime(true) * 1000000) . random_int(1, 999);
}

echo generateUniqueId();
  
Пример вывода: 1644512345678901234 (большое число, для 32-битных систем может не поместиться)

Проблема: на 32-битных системах int overflow. Решение - использовать строковое представление или библиотеку BCMath.

2. Сокращение числового ID с помощью base_convert

Пример 

$id = 123456789;
$short = base_convert($id, 10, 36);
echo "Оригинал: $id, в 36-ричной системе: $short";
// Обратное преобразование:
$restored = base_convert($short, 36, 10);
echo "Восстановлено: $restored";
  
Оригинал: 123456789, в 36-ричной системе: 21i3v9
Восстановлено: 123456789

Используется для создания коротких уникальных идентификаторов из автоинкремента. Не подходит для ID, которые должны оставаться целыми числами для индексации.

3. Пакетная проверка массива ID

Пример 

$ids = ['123', 'abc', '0', '456', null];
$validIds = array_filter($ids, function($val) {
    return $val !== null && filter_var($val, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1]]) !== false;
});
$validIds = array_map('intval', $validIds);
print_r($validIds);
  
Array
(
    [0] => 123
    [3] => 456
)

Полезно при обработке списка ID из формы или API.

4. Работа с большими ID (за пределами PHP_INT_MAX)

Пример 

$bigIdString = '12345678901234567890';
// Приведение к int потеряет точность
$lost = (int) $bigIdString;
echo "При int: $lost\n";
// Использование BCMath для сравнения и арифметики
echo "BCMath: " . bcadd($bigIdString, '1') . "\n";
  
При int: 2147483647 (на 32-битной) или 12345678901234567890 (на 64-битной, если помещается)
BCMath: 12345678901234567891

Для ID из внешнего API или баз данных, использующих BIGINT (64 бита), на 32-битных системах их следует обрабатывать как строки с помощью BCMath или GMP.

5. Извлечение числового ID из строки с префиксом

Пример 

$input = 'user_12345';
if (preg_match('/user_(\d+)/', $input, $matches)) {
    $id = (int) $matches[1];
    echo "ID пользователя: $id";
}
  
ID пользователя: 12345

Часто используется при парсинге URL параметров вида /user/12345.

Числа и ID в PHP - comments

En
Numbers php id (php)