paginator 1.6.3 duda sobre error

[Tooj]

Hola. estoy usando paginator 1.6.3, que es un script que gente de foros del web ha ayudado a escribir.

tengo duda sobre un comportamiento extraño, que podria dar lugar a un uso mal intencionado

en la parte de generacion de enlaces dice:

Código PHP:

  $_pagi_navegacion_temporal = array();
 if ($_pagi_actual != 1){
    // Si no estamos en la página 1. Ponemos el enlace "primera"
    $_pagi_url = 1; //será el número de página al que enlazamos
    
    $_pagi_navegacion_temporal[] = "<a ".$_pagi_nav_estilo_mod." href='".$_pagi_enlace."_pagi_pg=".$_pagi_url."'>$_pagi_nav_primera</a>";
 
    // Si no estamos en la página 1. Ponemos el enlace "anterior"
    $_pagi_url = $_pagi_actual - 1; //será el número de página al que enlazamos
    $_pagi_navegacion_temporal[] = "<a ".$_pagi_nav_estilo_mod." href='".$_pagi_enlace."_pagi_pg=".$_pagi_url."'>$_pagi_nav_anterior</a>"; 
   

resulta que $_pagi_url al ser sustituida por una cadena o valor salta un error

por ejemplo: http://web.abc/seccion.php=30&_pagi_...0%3C/script%3E

u otro http://web.abc/seccion.php=30&_pagi_pg=hola

en uno u otro caso el error dice: "Error en la consulta limitada" ... You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '-10,10' at line 1

que segun entiendo lo que quiere decir es que $_pagi_url o tal vez, mejor dicho $_pagi_pg no es un valor númerico.

como hago para plantear que si el valor de $_pagi_url / $_pagi_pg no es numérico, asuma el valor de 1


aqui otra parte del codigo

Código PHP:

  if (empty($_GET['_pagi_pg'])){
    // Si no se ha hecho click a ninguna página específica
    // O sea si es la primera vez que se ejecuta el script
        // $_pagi_actual es la pagina actual-->será por defecto la primera.
    $_pagi_actual = 1;
 }else{
    // Si se "pidió" una página específica:
    // La página actual será la que se pidió.
        $_pagi_actual = $_GET['_pagi_pg'];
 } 
   

haber si alguien puede ayudarme a resolver esta duda

gracias

[Sourcegeek]

Puedes usar is_numeric, te dejo un ejemplo:

Código PHP:

$var = 'pagina';
if(!is_numeric($var)) { // Si no es numerico $var....
    $var = 1;
}
 

Además, es muy importante usar is_numeric en estos casos, porque aparte de prevenir errores, se previene
un posible inyección SQL (también te recomiendo 'sanear' los datos que obtengas por $_GET que tengan que
ver en una query SQL)

Saludos!

[Tooj]

gracias!

coloque el codigo así y funciona...!

Código PHP:

  if (empty($_GET['_pagi_pg'])){
    // Si no se ha hecho click a ninguna página específica
    // O sea si es la primera vez que se ejecuta el script
        // $_pagi_actual es la pagina actual-->será por defecto la primera.
    $_pagi_actual = 1;
    
 
 }else{
    // Si se "pidió" una página específica:
    // La página actual será la que se pidió.
        $_pagi_actual = $_GET['_pagi_pg'];
        
        if (!is_numeric($_pagi_actual)) {
        $_pagi_actual = 1;
        }
                
 } 
   

en cuanto a sanear, eso precisamente hago. le paso el acunetix tratando de descubrir alguna vulnerabilidad, ya ves que ha aumentado mucho la actividad de "los expertos en seguridad" y luego trato de resolverla, de paso aprendo un poco mas a programar.

gracias nuevamente