comparingstringsinPHPwiththe==operator

最近在Greg Beaver&＃39;s的blog上发表的一篇新文章 comparing strings in PHP with the &＃61;&＃61; operator 中提及了PHP的 &＃61;&＃61; 运算符在对字符串进行比较时值得注意的问题。

在某些情况下&＃xff0c;PHP会把类数值数据&＃xff08;如含有数字的字符串等&＃xff09;转换成数值处理&＃xff0c;&＃61;&＃61; 运算符就是其中之一。在使用 &＃61;&＃61; 运算符对两个字符串进行松散比较时&＃xff0c;PHP会把类数值的字符串转换为数值进行比较&＃xff0c;下面的实验证实了这个结论&＃xff1a;


var_dump(&＃39;01&＃39; &＃61;&＃61; 1);
?>

以上代码输出结果为&＃xff1a;
bool(true)

　　所以&＃xff0c;在使用对字符串进行比较时&＃xff0c;建议使用 &＃61;&＃61;&＃61; 运算符对字符串进行严格的检查&＃xff0c;或使用strcmp()等函数&＃xff0c;从而避免可能产生的问题。PHP手册中的《PHP 类型比较表》对此也有详细说明。

　　除此之外&＃xff0c;常用的in_array()函数也存在弱类型的问题&＃xff0c;见如下代码&＃xff1a;

var_dump(in_array(&＃39;01&＃39;, array(&＃39;1&＃39;)));
?>

以上代码输出结果为&＃xff1a;
bool(true)

　　相信用过该函数进行安全性检查的PHP编程人员都知道这会产生怎么样的安全问题了吧&＃xff1f;幸好in_array()函数为我们提供了第三个参数&＃xff0c;把它设为 true 就可以打开in_array()函数的强制类型检查机制&＃xff0c;如下代码所示&＃xff1a;

var_dump(in_array(&＃39;01&＃39;, array(&＃39;1&＃39;), true));
?>

输出结果为&＃xff1a;
bool(false)

　　由于PHP是一种弱类型的语言&＃xff0c;也就是说数据类型这个概念在PHP中被弱化。因而如果在编程时过分忽略数据类型&＃xff08;也是大部份PHP程序员的通病&＃xff09;&＃xff0c;会产生一些问题&＃xff0c;甚至导致安全漏洞。最后&＃xff0c;还是那句说得很烦很烦的话&＃xff0c;对外来数据进行严格检查和过滤。

ps:超过16位长度的字符串 用&＃61;&＃61;比较 只要之前的16位相等 之后的数不相等 也会返回TRUE

so找到