PHP 过滤器详解：数据验证与清洗核心函数及实战

听雨眠

发布时间：2026-10-15 | 2人浏览过

原创

PHP 过滤器扩展提供了一套标准化的方法，用于验证和过滤来自表单、Cookie 或外部服务的数据。掌握 filter_var 及其数组版本，配合验证（Validating）与净化（Sanitizing）逻辑，是构建安全 Web 应用的基础。

为什么需要 PHP 过滤器

Web 应用程序高度依赖外部输入，包括用户表单数据、Cookies、Web Services 数据及数据库查询结果。如果不进行严格过滤，恶意代码（如 XSS）或非法数据可能导致系统漏洞或业务逻辑错误。始终对外部数据进行过滤是保障应用安全的关键步骤。

核心函数概览

PHP 提供了四个主要函数来处理数据过滤：

filter_var()：对单一变量进行过滤。
filter_var_array()：对多个变量使用相同或不同的过滤器。
filter_input()：获取并过滤一个特定的外部输入变量。
filter_input_array()：获取并过滤一组外部输入变量。

过滤器类型：验证与净化

理解两种基本类型的区别对于正确使用至关重要：

Validating 过滤器（验证）：
检查数据是否符合特定格式（如 Email、URL）。如果成功，返回预期类型；失败则返回 false。
例如：FILTER_VALIDATE_EMAIL。
Sanitizing 过滤器（净化）：
不检查格式，而是去除非法字符。始终返回字符串。
例如：FILTER_SANITIZE_URL 会删除 URL 中的非法字符。

第1步：验证单一变量数据

使用 filter_var() 可以对内存中的变量进行测试。以下示例演示如何验证一个整数是否合法：

<?php
$int = 123;
if(!filter_var($int, FILTER_VALIDATE_INT)) {
    echo "不是一个合法的整数";
} else {
    echo "是个合法的整数";
}
// 输出: 是个合法的整数
?>

若传入非整数（如 123abc），验证将失败并返回 FALSE。

第2步：使用选项限制数值范围

部分过滤器支持通过数组配置额外选项，如指定整数的最小/最大值。此操作需将选项放入名为 options 的关联数组中：

<?php
$var = 300;
$int_options = array(
    "options" => array(
        "min_range" => 0,
        "max_range" => 256
    )
);
if(!filter_var($var, FILTER_VALIDATE_INT, $int_options)) {
    echo "不是一个合法的整数（超出范围）";
} else {
    echo "是个合法的整数";
}
// 输出: 不是一个合法的整数（因为 300 > 256）
?>

第3步：获取并净化外部输入

在处理 Web 请求时，通常直接过滤外部输入（GET/POST）。以下流程演示如何检测并清洗 URL：

使用 filter_has_var() 确认是否存在该参数。
使用 filter_input() 获取并执行净化操作。

<?php
if(!filter_has_var(INPUT_GET, "url")) {
    echo "没有 url 参数";
} else {
    // 净化输入，移除非法字符
    $url = filter_input(INPUT_GET, "url", FILTER_SANITIZE_URL);
    echo $url;
}
?>

第4步：批量过滤多个字段

当表单包含多个字段时，逐一调用过滤函数效率低下。可以使用 filter_input_array() 一次性处理：

<?php
$filters = array(
    "name" => array(
        "filter" => FILTER_SANITIZE_STRING
    ),
    "age" => array(
        "filter" => FILTER_VALIDATE_INT,
        "options" => array("min_range" => 1, "max_range" => 120)
    ),
    "email" => FILTER_VALIDATE_EMAIL
);
$result = filter_input_array(INPUT_GET, $filters);

if (!$result["age"]) {
    echo "年龄必须在 1 到 120 之间。";
} elseif(!$result["email"]) {
    echo "E-Mail 不合法";
} else {
    echo "输入正确";
}
?>

在此数组定义中，键名对应输入变量名，值可以是单纯的 Filter ID，也可以是包含 filter、options 或 flags 的配置数组。

第5步：自定义过滤器 (Callback)

如需完全控制过滤逻辑，可使用 FILTER_CALLBACK。它将调用指定的自定义函数：

<?php
function convertSpace($string) {
    return str_replace("_", ".", $string);
}
$string = "www_*****_com!";
echo filter_var($string, FILTER_CALLBACK, array("options" => "convertSpace"));
// 输出: www.*****.com!
?>