PHP-数字判断is_numeric与ctype_digit

Posted by

偶然的一次,我发现了在工作项目中出现的一个bug:针对手机号做校验,在处理区号格式的时候,我期望直接判断区号是数字就通过,于是我用了is_numeric,结果发现跟我预期的不一样,因为实际拿到的数据,有可能是“+86”或者是“86”,而我仅仅是期望“86”才能通过验证。

在这个时候我想到了,字符串的“+”被识别为正负号了,所以“+86”或者“-86”都会被通过校验。

于是我又去检索了一下PHP的is_numeric,发现网上有挺多这类博客:关于is_numeric的漏洞,我好奇点开了一下,里面提到了这种说法:is_numeric对16进制的数据同样也会被识别为通过,例如字符串“0x4B0”,会识别为数字。我还是头一次知道原来这函数针对这种类型字符串也会被识别为true,于是我尝试了一下:

明明是false,哪有什么被识别为true。于是我又找了其他几篇博客,发现同样有人说这个漏洞。心里就纳闷了,我看到那些博客时间都是14年的,于是想到会不会是PHP版本的问题,于是我切换了一下PHP的版本,再次尝试了一下:

果然,我切到5.6之后,返回了true。紧接着我在官方文档找到了关于该函数的changelog:Strings in hexadecimal (e.g. 0xf4c3b00c) notation are no longer regarded as numeric strings, i.e. is_numeric() returns FALSE now,附上地址。所以看到这里,那些文章提到的其实是没有问题的,只是版本不一致所以才有了以上疑惑。

回到正题,那怎么验证我的期望数据?答案是利用函数:ctype_digit(string $text),如果 text 字符串是一个十进制数字,就返回 TRUE ;反之就返回 FALSE 

于是,我使用了各种类型数字字符串如“1234567898784120”、“0x4be”、“1e3”、“+86”、“-86”等做校验,除了第一个是纯数字外,其他的都返回false,看来满足要求。

这里重点提一下接受的参数是字符串,如果传递的是整数,它会做转换,将得到异常的情况,具体可看注释

此外,在官方介绍Ctype时,里面说到了:如果在满足要求的情况下,优先使用Ctype函数,而不是正则表达式或者对应的 "str_*" 和 "is_*" 函数,因为ctype 使用的是原生 C 库,所以会有明显的性能优势。同时,Ctype还有判断字母,数字等函数。

在了解到以上差异之后,看来日常使用过程中,判断字符串真正的是纯数字,更多满足要求的判断应该是ctype_digit,而不是is_numeric。

Leave a Reply

邮箱地址不会被公开。 必填项已用*标注