Filtre PHP

Les filtres PHP sont utilisés pour valider et filtrer les données provenant de sources non sécurisées, telles que les entrées de l'utilisateur.

Que sont les filtres PHP ?

Les filtres PHP sont utilisés pour valider et filtrer les données provenant de sources non sécurisées.

Tester, valider et filtrer les entrées utilisateur ou les données personnalisées est une partie importante de toute application Web.

L'extension de filtre PHP est conçue pour rendre le filtrage des données plus facile et plus rapide.

Pourquoi utiliser des filtres ?

Presque toutes les applications Web reposent sur une entrée externe. Ces données proviennent généralement des utilisateurs ou d'autres applications (telles que des services Web). En utilisant des filtres, vous pouvez vous assurer que votre application obtient le type d'entrée correct.

Vous devez toujours filtrer les données externes !

Le filtrage des entrées est l'un des sujets les plus importants en matière de sécurité des applications.

Qu'est-ce que les données externes ?

1. Données de saisie du formulaire

2. Cookies

3. Données des services Web

4. Résultats de la requête de base de données

Fonctions et filtres Pour filtrer les variables, utilisez l'une des fonctions de filtre suivantes :

• filter_var () - Filtrer une seule variable par un filtre spécifié

• filter_var_array() - Filtrer plusieurs variables par des filtres identiques ou différents

• filter_input - Obtenir une variable d'entrée et la filtrer

• filter_input_array - Obtenez plusieurs variables d'entrée et filtrez-les avec des filtres identiques ou différents

Exemple ci-dessous, nous utilisons la fonction filter_var() pour vérifier un entier :

<?php
$int = 123;
if(!filter_var($int, FILTER_VALIDATE_INT))
{
echo("不是一个合法的整数");
}
else
{
echo("是个合法的整数");
}
?>

Le code ci-dessus utilise le filtre "FILTER_VALIDATE_INT" pour filtrer les variables. Puisque cet entier est légal, le code ci-dessus affichera :

est un entier légal

Si nous essayons d'utiliser une variable non entière (telle que "123abc"), il affichera : "L'entier n'est pas valide".

Pour une liste complète des fonctions et des filtres, veuillez visiter notre Manuel de référence des filtres PHP.

Validation et désinfectionIl existe deux types de filtres :

Filtre de validation :

• Utilisé pour valider la saisie de l'utilisateur

• Règles de format strictes (telles que la validation d'URL ou d'e-mail)

• Renvoie la valeur attendue en cas de succès Tapez, renvoie FALSE en cas d'échec

Filtre de désinfection :

• Utilisé pour autoriser ou interdire les caractères spécifiés dans la chaîne

• Aucune règle de format de données

• Renvoie toujours la chaîne

Options et indicateursLes options et les indicateurs sont utilisés pour ajouter des options de filtrage supplémentaires au filtre spécifié.

Différents filtres ont des options et des indicateurs différents.

Dans l'exemple ci-dessous, on valide un entier en utilisant filter_var() avec les options "min_range" et "max_range" :

<?php
$var=300;
$int_options = array(
"options"=>array
(
"min_range"=>0,
"max_range"=>256
)
);
if(!filter_var($var, FILTER_VALIDATE_INT, $int_options))
{
echo("不是一个合法的整数");
}
else
{
echo("是个合法的整数");
}
?>

Tout comme le code ci-dessus, les options doivent être mises dans un options" dans le tableau associé. Si vous utilisez des indicateurs, ils n'ont pas besoin d'être dans un tableau.

Puisque l'entier est "300", il n'est pas dans la plage spécifiée, la sortie du code ci-dessus sera :

n'est pas un entier légal

Pour une liste complète des fonctions et des filtres, visitez notre manuel de référence des filtres PHP. Vous pouvez voir les options et les indicateurs disponibles pour chaque filtre.

Validation de la saisie

Essayons de valider la saisie du formulaire.

La première chose que nous devons faire est de confirmer que les données d'entrée que nous recherchons existent.

Ensuite, nous utilisons la fonction filter_input() pour filtrer les données d'entrée.

Dans l'exemple suivant, la variable d'entrée « email » est passée à la page PHP :

<?php
if(!filter_has_var(INPUT_GET, "email"))
{
echo("没有 email 参数");
}
else
{
if (!filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL))
{
echo "不是一个合法的 E-Mail";
}
else
{
echo "是一个合法的 E-Mail";
}
}
?>

Les résultats des tests de l'exemple ci-dessus sont les suivants :

Explication des exemples

L'exemple ci-dessus a une variable d'entrée (e-mail) transmise via la méthode "GET":

Détecter s'il y a un "email" de type "GET" Variable d'entrée

Si la variable d'entrée existe, vérifiez si c'est une adresse e-mail valide

Purifier l'entrée

Essayons de nettoyer l'URL transmise depuis le formulaire.

Tout d'abord, nous voulons confirmer que les données d'entrée que nous recherchons existent.

Ensuite, nous utilisons la fonction filter_input() pour purifier les données d'entrée.

Dans l'exemple suivant, la variable d'entrée "url" est passée à la page PHP :

<?php
if(!filter_has_var(INPUT_GET, "url"))
{
echo("没有 url 参数");
}
else
{
$url = filter_input(INPUT_GET, 
"url", FILTER_SANITIZE_URL);
echo $url;
}
?>

Explication de l'exemple

L'exemple ci-dessus possède une variable d'entrée (url) transmise par la méthode "GET" :

Détecter s'il existe une variable d'entrée "url" de type "GET"

Si cette variable d'entrée existe, purifier (supprimez les caractères illégaux) et stockez-la dans la variable $url

Si la variable d'entrée est une chaîne comme celle-ci : "http://www.ruåånoøøob.com/", la variable $url purifiée est la suivante suit Affiché :

Filtrer plusieurs entrées

formulaire Habituellement se compose de plusieurs champs de saisie. Pour éviter les appels répétés aux fonctions filter_var ou filter_input, nous pouvons utiliser filter_var_array ou la fonction filter_input_array.

Dans cet exemple, nous utilisons la fonction filter_input_array() pour filtrer trois variables GET. Les variables GET reçues sont un nom, un âge et une adresse e-mail :

<?php
$filters = array
(
"name" => array
(
"filter"=>FILTER_SANITIZE_STRING
),
"age" => array
(
"filter"=>FILTER_VALIDATE_INT,
"options"=>array
(
"min_range"=>1,
"max_range"=>120
)
),
"email"=> FILTER_VALIDATE_EMAIL
);
$result = filter_input_array(INPUT_GET, $filters);
if (!$result["age"])
{
echo("年龄必须在 1 到 120 之间。<br>");
}
elseif(!$result["email"])
{
echo("E-Mail 不合法<br>");
}
else
{
echo("输入正确");
}
?>

Explication des exemples

L'exemple ci-dessus comporte trois variables d'entrée (nom, âge et e-mail) transmises via la méthode "GET":

1 Configurez un tableau contenant le nom de la variable d'entrée et le filtre de variable d'entrée spécifié.

2. Appelez la fonction filter_input_array(), les paramètres incluent la variable d'entrée GET et le tableau que vous venez de définir

3 Détectez les variables "age" et "email" dans la variable $result. Y a-t-il des entrées illégales ? (S'il y a une entrée illégale, la variable d'entrée est FALSE après avoir utilisé la fonction filter_input_array().)

Le deuxième argument de la fonction filter_input_array() peut être un tableau ou l'ID d'un seul filtre.

Si le paramètre est l'ID d'un seul filtre, alors le filtre spécifié filtrera toutes les valeurs du tableau d'entrée.

Si le paramètre est un tableau, alors le tableau doit suivre les règles suivantes :

doit être un tableau associatif contenant les variables d'entrée qui sont les clés du tableau (comme l'"âge " variable d'entrée)

La valeur de ce tableau doit être l'ID du filtre, ou un tableau spécifiant le filtre, les indicateurs et les options

Utiliser le rappel du filtre

En utilisant le filtre FILTER_CALLBACK, vous pouvez appeler une fonction personnalisée et l'utiliser comme filtre. De cette façon, nous avons un contrôle total sur le filtrage des données.

Vous pouvez créer vos propres fonctions personnalisées ou utiliser des fonctions PHP existantes.

Spécifiez la fonction du filtre que vous allez utiliser selon la méthode spécifiée de l'option spécifiée. Dans un tableau associatif, portant le nom "options".

Dans l'exemple ci-dessous, nous utilisons une fonction personnalisée pour convertir tous les "_" en espaces :

<?php
function convertSpace($string)
{
return str_replace("_", ".", $string);
}
$string = "www_php_com!";
echo filter_var($string, FILTER_CALLBACK,
array("options"=>"convertSpace"));
?>

Le résultat du code ci-dessus est le suivant :

www.php.com

Explication des exemples

L'exemple ci-dessus convertit tous les "_" en "." :

1 . Créez une fonction qui remplace "_" par "."

2. Appelez la fonction filter_var(), dont les paramètres sont le filtre FILTER_CALLBACK et le tableau contenant notre fonction

<. 🎜>section suivante