is_numeric()函数安全漏洞

函数介绍：

is_numeric — 检测变量是否为数字或数字字符串。

函数原型：

bool is_numeric ( mixed $var )
如果 var 是数字或数字字符串则返回 TRUE，否则返回 FALSE。

但是函数的范围比较广泛，不仅仅是十进制的数字。当碰到16进制数的时候，也会判断成数字。如果只是用is_numeric函数验证变量是否为数字，就很有可能插入一些特殊字符到数据库中。

<?php  
echo is_numeric(0x74657374);
?> 
//输出为1

is_numeric函数对于空字符%00，无论是%00放在前后都可以判断为非数值，而%20空格字符只能放在数值后。所以，查看函数发现该函数对对于第一个空格字符会跳过空格字符判断，接着后面的判断！