PHP函数使用技巧：过滤用户输入

在 PHP 中处理用户输入时，经常需要过滤输入数据以确保安全性和正确性。因为用户可以提交任何数据到你的脚本，包含恶意代码和有害数据。为了防止用户提交恶意数据漏洞入侵，我们可以使用 PHP 内置的过滤函数来过滤用户输入数据。

1. 过滤 HTML 和 PHP 标记

使用 strip_tags() 函数来过滤输入数据中的 HTML 和 PHP 标记。该函数的第一个参数是要过滤的输入字符串，第二个参数是要保留的标记列表。例如，以下代码过滤用户输入并删除所有的 HTML 和 PHP 标记：

$input = '<p><script>alert("hello");</script></p>';
$filtered = strip_tags($input);
echo $filtered;
// 输出：hello

除了删除标记外，标记列表还可以指定要保留的标记。例如，以下代码仅保留 p 和 a 标记：

$input = '<p><a href="https://www.example.com/">Example.com</a></p><script>alert("hello");</script>';
$filtered = strip_tags($input, '<p><a>');
echo $filtered;
// 输出：<p><a href="https://www.example.com/">Example.com</a></p>

2. 过滤特殊字符

使用 htmlspecialchars() 函数来过滤输入数据中的特殊字符。例如，以下代码过滤用户输入并将特殊字符转换为 HTML 实体：

$input = '<script>alert("hello & world");</script>';
$filtered = htmlspecialchars($input);
echo $filtered;
// 输出：&lt;script&gt;alert(&quot;hello &amp; world&quot;);&lt;/script&gt;

在输出转换后的数据时，要使用 htmlspecialchars_decode() 函数来恢复原有的文本，例如：

echo htmlspecialchars_decode('<script>alert("hello & world");</script>');
// 输出：<script>alert("hello & world");</script>

3. 过滤数值

使用 filter_var() 函数来过滤数值类型的输入数据。例如，以下代码使用 filter_var() 函数来验证一个整数：

$input = '123';
if (filter_var($input, FILTER_VALIDATE_INT)) {
    echo "是一个整数";
} else {
    echo "不是一个整数";
}
// 输出：是一个整数

还可以使用 FILTER_SANITIZE_NUMBER_INT 标志来过滤其他字符，只保留数值字符：

$input = '12a3';
$filtered = filter_var($input, FILTER_SANITIZE_NUMBER_INT);
echo $filtered;
// 输出：123

4. 过滤 URL

使用 filter_var() 函数来验证和过滤 URL。例如，以下代码使用 filter_var() 函数来验证一个 URL：

$url = 'https://www.example.com/page.php?name=john';
if (filter_var($url, FILTER_VALIDATE_URL)) {
    echo "是一个有效的 URL";
} else {
    echo "不是一个有效的 URL";
}
// 输出：是一个有效的 URL

还可以使用 FILTER_SANITIZE_URL 标志来过滤 URL，例如：

$url = 'https://www.google.com/search?q=hello+world';
$filtered = filter_var($url, FILTER_SANITIZE_URL);
echo $filtered;
// 输出：https://www.google.com/search?q=hello+world

5. 过滤邮箱地址

使用 filter_var() 函数来验证和过滤邮箱地址。例如，以下代码使用 filter_var() 函数来验证一个邮箱地址：

$email = 'john@example.com';
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "是一个有效的邮箱地址";
} else {
    echo "不是一个有效的邮箱地址";
}
// 输出：是一个有效的邮箱地址

还可以使用 FILTER_SANITIZE_EMAIL 标志来过滤邮箱地址，例如：

$email = 'john.doe@example.com';
$filtered = filter_var($email, FILTER_SANITIZE_EMAIL);
echo $filtered;
// 输出：john.doe@example.com

6. 过滤 IP 地址

使用 filter_var() 函数来验证和过滤 IP 地址。例如，以下代码使用 filter_var() 函数来验证一个 IP 地址：

$ip = '192.168.0.1';
if (filter_var($ip, FILTER_VALIDATE_IP)) {
    echo "是一个有效的 IP 地址";
} else {
    echo "不是一个有效的 IP 地址";
}
// 输出：是一个有效的 IP 地址

还可以使用 FILTER_SANITIZE_IP 标志来过滤 IP 地址，例如：

$ip = '192.168.0.1';
$filtered = filter_var($ip, FILTER_SANITIZE_IP);
echo $filtered;
// 输出：192.168.0.1

总结：

过滤用户输入是保证应用程序安全和稳定性的必要步骤之一。以上是常见的 PHP 过滤函数及其使用示例。然而，要保证应用程序的完全安全性，可能需要更复杂的过滤和验证规则。最好的方法是开发过程中始终保持警惕，遵循最佳实践，确保应用程序对恶意输入数据有适当的防范措施。