PHP内置过滤器 FILTER 详解：验证与清理实战

FILTER扩展的核心概念

PHP的FILTER扩展自版本5.2起被广泛集成，专门用于解决数据过滤问题。它主要包含两种处理模式：

• 验证 (Validation)：用于检查数据是否符合特定的格式标准。例如，使用 FILTER_VALIDATE_EMAIL 可以判断一个字符串是否为合法的邮箱地址。如果数据不符合规范，验证将返回 false，而不会对数据进行任何修改。
• 纠错/清理 (Sanitization)：用于对数据进行清洗，移除或转换不符合规范的字符。例如，使用 FILTER_SANITIZE_EMAIL 会移除邮箱中除字母、数字及特定符号外的非法字符，但不会验证该邮箱地址在逻辑上是否真实有效。

常用验证过滤器 (Validate Filters)

验证过滤器通常与 filter_var() 函数配合使用，用于确保输入数据的合法性。以下是几种最常用的验证类型：

1. FILTER_VALIDATE_BOOLEAN：将值作为布尔选项验证。"1", "true", "on" 和 "yes" 会被认定为 TRUE，其余为 FALSE。
2. FILTER_VALIDATE_EMAIL：严格验证邮箱地址格式。
3. FILTER_VALIDATE_FLOAT：验证是否为有效的浮点数。
4. FILTER_VALIDATE_INT：验证整数，支持设置范围限制（min_range/max_range）。
5. FILTER_VALIDATE_IP：验证IPv4或IPv6地址。
6. FILTER_VALIDATE_REGEXP：基于兼容Perl的正则表达式进行验证。
7. FILTER_VALIDATE_URL：验证URL格式的合法性。

第1步：验证邮箱地址

目的：区分合法与非法邮箱格式。
入口：任意字符串变量。
动作：调用 filter_var($var, FILTER_VALIDATE_EMAIL)。

$email_a = 'onedayin2013@shawn.com';
$email_b = 'invalid@email';

if (filter_var($email_a, FILTER_VALIDATE_EMAIL)) {
    echo "This ($email_a) email address is valid.";
} else {
    echo "This ($email_a) email address is invalid.";
}

if (filter_var($email_b, FILTER_VALIDATE_EMAIL)) {
    echo "This ($email_b) email address is valid.";
} else {
    echo "This ($email_b) email address is invalid.";
}
// 输出:
// This (onedayin2013@shawn.com) email address is valid.
// This (invalid@email) email address is invalid.

第2步：验证IP地址

目的：检查字符串是否为有效的网络IP地址。
入口：IP地址字符串。
动作：使用 FILTER_VALIDATE_IP。

$ip_a = '127.0.0.1';
$ip_b = '52.69';

if (filter_var($ip_a, FILTER_VALIDATE_IP)) {
    echo "This ($ip_a) IP address is valid.";
} else {
    echo "This ($ip_a) IP address is invalid.";
}

if (filter_var($ip_b, FILTER_VALIDATE_IP)) {
    echo "This ($ip_b) IP address is valid.";
} else {
    echo "This ($ip_b) IP address is invalid.";
}
// 输出:
// This (127.0.0.1) IP address is valid.
// This (52.69) IP address is invalid.

常用清理过滤器 (Sanitize Filters)

当需要清除数据中的潜在危险字符，而不关心其最终语义是否正确时，应使用清理过滤器。这些过滤器同样通过 filter_var() 执行：

• FILTER_SANITIZE_EMAIL：仅保留字母、数字及 !#$%&'()*+-=?^_`{|}~@.[]. 之外的字符全部移除。
• FILTER_SANITIZE_ENCODED：类似于 urlencode()，移除URL编码中不需要的字符。
• FILTER_SANITIZE_MAGIC_QUOTES：在预定义字符（单引号、双引号、反斜线、NULL）前添加反斜杠（注：PHP 8.0+已废弃，建议使用其他转义方式）。
• FILTER_SANITIZE_NUMBER_FLOAT：仅保留数字、正负号和可选的小数点/逗号。
• FILTER_SANITIZE_NUMBER_INT：仅保留数字和正负号。
• FILTER_SANITIZE_SPECIAL_CHARS：转义 <>& 及 ASCII 值低于 32 的字符，防止XSS攻击。
• FILTER_SANITIZE_STRING：删除可能危害应用的标签及特殊字符。
• FILTER_SANITIZE_URL：仅保留URL中允许的字符集。

第3步：清理并显示无效邮箱

目的：展示如何在不改变原始错误数据的前提下，生成一个可显示的“干净”版本，或者仅用于日志记录。
入口：包含非法字符的字符串。
动作：先验证，若不通过则执行清理。

$invalid_email = "(corrupted@foo dot com)";

if (!filter_var($invalid_email, FILTER_VALIDATE_EMAIL)) {
    $sanitized_email = filter_var($invalid_email, FILTER_SANITIZE_EMAIL);
    echo "This ($invalid_email) email address is invalid.";
    echo "Sanitized Email is: $sanitized_email";
}
// 输出:
// This ((corrupted@foo dot com)) email address is invalid.
// Sanitized Email is: corrupted@foo.com

直接获取并过滤外部输入

在处理来自HTTP请求（GET, POST, COOKIE, SERVER等）的数据时，直接使用 $_GET 或 $_POST 数组存在安全风险。推荐使用 filter_input() 函数，它可以在获取数据的同时完成验证或清理。

第4步：使用 filter_input 处理 GET 参数

目的：安全地获取搜索关键词，分别用于页面显示（转义HTML）和URL构建（URL编码）。
入口：URL查询参数。
动作：指定 INPUT_GET 类型及相应的过滤常量。

// 获取名为 'search' 的参数
$search_html = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_SPECIAL_CHARS);
$search_url  = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_ENCODED);

echo "You have searched for $search_html.";
echo "Search again.";

上述代码中，$search_html 经过特殊字符转义，适合嵌入在 HTML 文本中显示；而 $search_url 经过 URL 编码，适合拼接在链接中，避免破坏URL结构。

总结

PHP的FILTER扩展是处理用户输入不可或缺的工具。对于需要确认数据格式正确性的场景（如注册时的邮箱），应使用以 FILTER_VALIDATE_ 开头的验证器；对于需要从脏数据中提取可用部分或防止XSS注入的场景，则应使用以 FILTER_SANITIZE_ 开头的清理器。结合 filter_var 处理变量和 filter_input 处理外部来源，可以编写出更健壮、安全的PHP代码。

以上就是PHP内置过滤器FILTER的详细使用内容与实例，更多关于PHP开发技巧的资料请关注本站其它相关文章！