Filtre PHP

Les filtres PHP sont utilisés pour valider et filtrer les données provenant de sources non sécurisées, telles que les entrées de l'utilisateur.

Que sont les filtres PHP ?

Les filtres PHP sont utilisés pour valider et filtrer les données provenant de sources non sécurisées.

Tester, valider et filtrer les entrées utilisateur ou les données personnalisées est une partie importante de toute application Web.

L'extension de filtre PHP est conçue pour rendre le filtrage des données plus facile et plus rapide.

Pourquoi utiliser des filtres ?

Presque toutes les applications Web reposent sur une entrée externe. Ces données proviennent généralement des utilisateurs ou d'autres applications (telles que des services Web). En utilisant des filtres, vous pouvez vous assurer que votre application obtient le type d'entrée correct.

Vous devez toujours filtrer les données externes !

Le filtrage des entrées est l'un des sujets les plus importants en matière de sécurité des applications.

Qu'est-ce que les données externes ?

• Données de saisie des formulaires

• Cookies

• Données des services Web

• Variables du serveur

• Résultats de la requête de base de données

Fonction et filtre

tels que To filtrez les variables, utilisez l'une des fonctions de filtre suivantes :

• filter_var() - Filtre une seule variable par un filtre spécifié

• filter_var_array() - Filtrer plusieurs variables avec des filtres identiques ou différents

• filter_input - Obtenez une variable d'entrée et filtrez-la

• filter_input_array - Obtenez plusieurs variables d'entrée et filtrer à travers des filtres identiques ou différents

Dans l'exemple ci-dessous, nous utilisons filter_var() La fonction valide un entier :

<?php
$int = 123;
if(!filter_var($int, FILTER_VALIDATE_INT))
{
echo("不是一个合法的整数");
}
else
{
echo("是个合法的整数");
}
?>

Si nous essayons d'utiliser une variable non entière (telle que "123abc"), cela affichera : "L'entier n'est pas valide".

Pour une liste complète des fonctions et des filtres, visitez notre manuel de référence des filtres PHP.

Validation et désinfection

Il existe deux types de filtres :

Filtre de validation :

• Utilisation Pour valider la saisie de l'utilisateur

• Règles de formatage strictes (telles que la validation d'URL ou d'e-mail)

• En cas de succès, renvoie le type attendu, si Renvoie FALSE en cas d'échec

Filtre de désinfection :

• est utilisé pour autoriser ou interdire les caractères spécifiés dans la chaîne

• Aucune règle de format de données

• Renvoie toujours la chaîne

Options et indicateurs

Option et les indicateurs sont utilisés pour ajouter des options de filtrage supplémentaires au filtre spécifié.

Différents filtres ont des options et des indicateurs différents.

Dans l'exemple ci-dessous, on valide un entier en utilisant filter_var() avec les options "min_range" et "max_range" :

<?php
$var=300;
$int_options = array(
"options"=>array
(
"min_range"=>0,
"max_range"=>256
)
);
if(!filter_var($var, FILTER_VALIDATE_INT, $int_options))
{
echo("不是一个合法的整数");
}
else
{
echo("是个合法的整数");
}
?>

Puisque l'entier est "300", il n'est pas dans la plage spécifiée, la sortie du code ci-dessus sera :

不是一个合法的整数

Pour voir la liste complète des fonctions et des filtres , veuillez consulter le manuel de référence de notre filtre PHP. Vous pouvez voir les options et les indicateurs disponibles pour chaque filtre.

Validation de la saisie

Essayons de valider la saisie du formulaire.

La première chose que nous devons faire est de confirmer que les données d'entrée que nous recherchons existent.

Ensuite, nous utilisons la fonction filter_input() pour filtrer les données d'entrée.

Dans l'exemple suivant, la variable d'entrée « email » est passée à la page PHP :

<?php
if(!filter_has_var(INPUT_GET, "email"))
{
echo("没有 email 参数");
}
else
{
if (!filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL))
{
echo "不是一个合法的 E-Mail";
}
else
{
echo "是一个合法的 E-Mail";
}
}
?>

Explication des exemples

L'exemple ci-dessus a une variable d'entrée (e-mail) transmise via la méthode "GET":

1 . Détecter si "GET" existe Variable d'entrée de type "email"

1. 2 S'il existe une variable d'entrée, vérifiez s'il s'agit d'un e-mail valide. adresse

Sanitize input

Essayons de nettoyer l'URL transmise depuis le formulaire.

Tout d'abord, nous voulons confirmer que les données d'entrée que nous recherchons existent.

Ensuite, nous utilisons la fonction filter_input() pour purifier les données d'entrée.

Dans l'exemple suivant, la variable d'entrée "url" est passée à la page PHP :

<?php
if(!filter_has_var(INPUT_GET, "url"))
{
echo("没有 url 参数");
}
else
{
$url = filter_input(INPUT_GET, 
"url", FILTER_SANITIZE_URL);
echo $url;
}
?>

Explication des exemples

L'exemple ci-dessus a une variable d'entrée (url) transmise via la méthode "GET":

1. Détecter s'il y a " GET" "url" variable d'entrée de type

2. Si cette variable d'entrée existe, nettoyez-la (supprimez les caractères illégaux) et stockez-la dans la variable $url

Si la variable d'entrée est une chaîne similaire à celle-ci : "http://www.pååhøøp.cn/", la variable $url purifiée ressemblera à ceci :

Filtrer plusieurs entrées

Les formulaires se composent généralement de plusieurs champs de saisie. Pour éviter les appels répétés aux fonctions filter_var ou filter_input, nous pouvons utiliser filter_var_array ou la fonction filter_input_array.

Dans cet exemple, nous utilisons la fonction filter_input_array() pour filtrer trois variables GET. Les variables GET reçues sont un nom, un âge et une adresse e-mail :

<?php
$filters = array
(
"name" => array
(
"filter"=>FILTER_SANITIZE_STRING
),
"age" => array
(
"filter"=>FILTER_VALIDATE_INT,
"options"=>array
(
"min_range"=>1,
"max_range"=>120
)
),
"email"=> FILTER_VALIDATE_EMAIL
);
$result = filter_input_array(INPUT_GET, $filters);
if (!$result["age"])
{
echo("年龄必须在 1 到 120 之间。<br>");
}
elseif(!$result["email"])
{
echo("E-Mail 不合法<br>");
}
else
{
echo("输入正确");
}
?>

Explication des exemples

Il y a trois exemples ci-dessus Variables d'entrée (nom, âge et email) transmises via la méthode "GET":

1. Définit un tableau contenant les noms des variables d'entrée et des filtres pour les variables d'entrée spécifiées

2. Appelez la fonction filter_input_array(), les paramètres incluent la variable d'entrée GET et le tableau vient de définir

3. Détectez "age" et "age" dans le Variable $result Y a-t-il une entrée illégale dans la variable « email » ? (S'il y a une entrée illégale, la variable d'entrée est FALSE après avoir utilisé la fonction filter_input_array().)

Le deuxième paramètre de la fonction filter_input_array() peut être un tableau ou l'ID d'un seul filtre.

Si le paramètre est l'ID d'un seul filtre, alors le filtre spécifié filtrera toutes les valeurs du tableau d'entrée.

Si le paramètre est un tableau, alors le tableau doit suivre les règles suivantes :

• doit être un tableau associatif contenant les variables d'entrée qui sont les clés du tableau (Par exemple, variable d'entrée "age")

• La valeur de ce tableau doit être l'ID du filtre, ou un tableau spécifiant des filtres, des drapeaux et des options

Utiliser le rappel de filtre

En utilisant le filtre FILTER_CALLBACK, vous pouvez appeler une fonction personnalisée et l'utiliser comme filtre. De cette façon, nous avons un contrôle total sur le filtrage des données.

Vous pouvez créer vos propres fonctions personnalisées ou utiliser des fonctions PHP existantes.

Spécifiez la fonction du filtre que vous allez utiliser selon la méthode spécifiée de l'option spécifiée. Dans un tableau associatif, portant le nom "options".

Dans l'exemple suivant, nous utilisons une fonction personnalisée pour convertir tous les "_" en espaces :

<?php
function convertSpace($string)
{
return str_replace("_", ".", $string);
}
$string = "www_php_cn!";
echo filter_var($string, FILTER_CALLBACK,
array("options"=>"convertSpace"));
?>

Explication des exemples

L'exemple ci-dessus convertit tous les "_" en "." :

1. Créer un " Le la fonction

2. par _" remplacé par "." appelle la fonction filter_var() dont les paramètres sont le filtre FILTER_CALLBACK et le tableau