Всем привет, возникли несколько вопросов, отелось бы узнать мнения и советы коллег. За ранее большое спасибо! 

1) Как лучше хранить денежное значение в базе, какой тип данных ?



2) Собственно вопрос про 0 и false

Ситуация когда нужно проверить есть ли значение в переменно и оно равно 0

Мой вариант решения: 

А как Вы решаете данную задачу? 



3) достаточно ли принудительно указать тип данных для предотвращения sql инъекции для числа и htmlspecialchars для строки ? 

decimal/numeric


откройте для себя 
===


нет

И от себя добавлю...

decimal, как и сказали, с нужной точностью (2 знака для рублей, долларов и т.п.). Это тип для точных расчетов. В нем нет каверз, как во float.
Хранить целым числом в виде значения копеек, центов и т.п. настоятельно не рекомендую. Округление тысячных долей до сотых - очень частая ситуация (посмотрите на цифры обмена валют), а с целыми числами это невозможно.


Fortop +++
Странно вообще возникновение такого вопроса, если честно =)


Prepared statements были придуманы еще 10 лет назад. С небольшой форой для их популяризации и реализации разными СУБД можно сказать, что последние 5 лет ими не пользоваться - это даже не странно, а уже глупо.

htmlspecialchars предназначен для вывода текста в браузер, а не для его ввода в базу. Эта функция предназначена для таких строк, как, например:
<script>alert("Этот сайт не фильтрует посты юзеров!");</script>
Как можно заметить, этот форум вывел просто текст, а не злобный html-код.

Причем к sql-инъекциям эта функция не имеет абсолютно никакого отношения.

Это сообщение отредактировал(а) Arantir - 2.8.2013, 16:36

Я Prepared statements  пользуюсь только через драйвер PDO напрямую в СУБД  их не взываю, нету надобности когда PDO делает тоже самое.
У себя в фм реализовал  в методах контролера 
$this->post(<имя ключа>, возможное значение по умолчанию null,  тип проверки null  int str num empty можно использовать знак отрицания в начале ! 
использую так 

Такие же методы реализованы отдельно не для глобальных перемененных. 
Тут как бы хочешь меньше писать рутины, создай себе хелперы функций и таскай их из проекта в проект.

ID всегда проверяю через is_int + > 0 но не через numeric

Это сообщение отредактировал(а) Sanchezzz - 2.8.2013, 19:25

Подскажите пожалуйста как безопасно орабатывать получнные данные на сервере.

Я используюю Yii, собственно там работаю с актив рекорд. Я в подробности работы класса не мокался, но знаю, что он тоже проверяет данные. 

Но хотельсь бы знать более подробно как защиться от злоумышлеников и как правильно валидировать данные. Особенно числовые! 

Метод rules()

а если на чистом php. 

Мне не опнравился данный метод, так как я использую мультиязычность и обрабатываю каждую ошибку. Поэтому мне проще возвращать  в качестве ответ от сервера код ошибки или success в формате json 

Все ошибки будут хранится в модели AR. getErrors и можно обрабатывать . Можно в самом правиле прописывать свой обработчик для ошибки.

Это сообщение отредактировал(а) georgiy11 - 4.8.2013, 13:07