php安全过滤需分层处理：接收时用filter_input验证/净化，存储前区分验证与净化，输出时按上下文用htmlspecialchars、json_encode或urlencode，数据库操作必须用预处理语句绑定参数。
PHP 安全过滤用户输入，关键不是“一次搞定”，而是按数据流向分层处理：接收时验证、存库前净化、输出前转义。直接拼接用户输入进 SQL 或 HTML，风险极高。
接收阶段：用 filter_input 精准获取并验证
避免直接读取 $_POST 或 $_GET，改用 filter_input() 在源头施加规则。
- 验证邮箱：
filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL)—— 返回邮箱字符串或 false，必须显式判断，不能只写if ($email)（空字符串、"0" 都是 falsy） - 验证带范围的整数：
filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]]) - 清理数字字段：
filter_input(INPUT_POST, 'phone', FILTER_SANITIZE_NUMBER_INT)—— 只留数字和正负号 - 多字段批量处理：用 filter_input_array()，为每个字段指定不同过滤器，比事后遍历 $_POST 更可靠
存储前：区分验证与净化，不混用
验证（Validate）是“这数据合不合规矩”，返回原始值或 false；净化（Sanitize）是“这数据干不干净”，始终返回字符串。
- FILTER_SANITIZE_EMAIL 只删非法字符，不校验格式。需两步：先净化，再验证
- FILTER_SANITIZE_STRING 已在 PHP 8.1+ 中废弃，别再用。需要去标签，用 strip_tags()；需要防 XSS 输出，用 htmlspecialchars()
- 富文本内容不能靠内置函数兜底，必须用 HTMLPurifier 这类专业库，按白名单允许特定标签和属性
输出到 HTML 时：上下文决定转义方式
同一段用户输入，在不同位置要不同处理。漏参数或放错地方，htmlspecialchars() 就等于没用。
- 普通 HTML 文本内：
htmlspecialchars($str, ENT_QUOTES, 'UTF-8')—— 必须指定 UTF-8 编码和 ENT_QUOTES，否则单引号属性（如title='xxx'）可能被绕过 - 输出到 JavaScript 字符串：不能用 htmlspecialchars，应使用
json_encode($str, JSON_UNESCAPED_UNICODE)并包裹在引号中 - 输出到 URL 参数：
urlencode($str)或rawurlencode($str)，不是 htmlspecialchars
数据库操作：预处理语句是防 SQL 注入的底线
过滤输入不能替代参数化查询。PDO 预处理只保护“值”，不保护表名、字段名、排序方向等动态部分。
- 所有用户输入的值，必须通过 PDO::prepare() + bindParam() / execute() 绑定，严禁字符串拼接 SQL
- 若需动态列名或 ORDER BY 字段，只能从预设白名单中选取，比如：
$allowed_sort = ['name', 'created_at']; $sort = in_array($_GET['sort'], $allowed_sort) ? $_GET['sort'] : 'name'; - 绑定整数时，显式指定类型：
$stmt->bindValue(':id', $id, PDO::PARAM_INT)，避免字符串隐式转换引发漏洞
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
