即便用户输入了一些恶意的id参数，系统也会强制转换成整型，避免恶意注入。这是因为，系统会对数据进行强制的数据类型检测，并且对数据来源进行数据格式转换。而且，对于字符串类型的数据，ThinkPHP都会进行escape_string处理(real_escape_string,mysql_escape_string)。
而且，你在验证的时候尽量使用数组查询，这样会比较安全，比如：
$map['username']=I('post.name');
$map['userpassword']=I('post.password');
$list=$data=D("user")->where($map)->find();
这样就好了
