快速提示：如何使用PHP過濾數據

關鍵要點

• 切勿信任應用中的外部輸入。過濾應用中包含的任何數據至關重要，以防止攻擊者註入代碼。
• PHP 中的兩種主要數據過濾類型是驗證和清理。驗證確保外部輸入符合預期，而清理則從外部輸入中刪除非法或不安全的字符。
• PHP 提供了一系列用於驗證和清理的過濾器。可以使用 filter_var() 和 filter_input() 函數應用這些過濾器，從而使您的 PHP 應用程序更安全、更可靠。

本文將探討為什麼過濾應用中包含的任何內容如此重要。特別是，我們將研究如何在 PHP 中驗證和清理外部數據。

絕對不要信任應用中的外部輸入。這是任何開發 Web 應用程序的人都必須學習的最重要的經驗之一。

外部輸入可以是任何東西——從 $_GET 和 $_POST 表單輸入數據，HTTP 請求正文中的某些元素，甚至 $_SERVER 超全局變量中的某些值。 Cookie、會話值以及上傳和下載的文檔文件也被視為外部輸入。

每次我們將外部數據處理、輸出、包含或連接到我們的代碼中時，攻擊者都有可能將代碼注入到我們的應用程序中（所謂的注入攻擊）。因此，我們需要確保每一段外部數據都經過適當的過濾，以便可以安全地將其整合到應用程序中。

在過濾方面，主要有兩種類型：驗證和清理。

驗證

驗證確保外部輸入符合我們的預期。例如，我們可能期望一個電子郵件地址，因此我們期望類似於 name@domain.com 的格式。為此，我們可以使用 FILTER_VALIDATE_EMAIL 過濾器。或者，如果我們期望一個布爾值，我們可以使用 PHP 的 FILTER_VALIDATE_BOOL 過濾器。

最有用的過濾器包括 FILTER_VALIDATE_BOOL、FILTER_VALIDATE_INT 和 FILTER_VALIDATE_FLOAT 用於過濾基本類型，以及 FILTER_VALIDATE_EMAIL 和 FILTER_VALIDATE_DOMAIN 分別用於過濾電子郵件和域名。

另一個非常重要的過濾器是 FILTER_VALIDATE_REGEXP，它允許我們根據正則表達式進行過濾。使用此過濾器，我們可以通過更改我們過濾的正則表達式來創建自定義過濾器。

所有 PHP 中可用於驗證的過濾器都可以在此處找到。

清理

清理是從外部輸入中刪除非法或不安全字符的過程。

最好的例子是我們在將數據庫輸入插入原始 SQL 查詢之前對其進行清理。

同樣，一些最有用的清理過濾器包括用於清理基本類型的過濾器，例如FILTER_SANITIZE_STRING、FILTER_SANITIZE_CHARS 和FILTER_SANITIZE_INT，還有FILTER_SANITIZE_URL 和FILTER_SANITIZE_EMAIL 用於清理URL 和電子郵件。

所有 PHP 清理過濾器都可以在此處找到。

filter_var() 和 filter_input()

既然我們知道 PHP 提供了各種過濾器，我們就需要知道如何使用它們。

過濾器應用是通過 filter_var() 和 filter_input() 函數完成的。

filter_var() 函數將指定的過濾器應用於變量。它將獲取要過濾的值、要應用的過濾器以及可選的選項數組。例如，如果我們嘗試驗證電子郵件地址，我們可以使用以下代碼：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

如果目標是清理字符串，我們可以使用以下代碼：

<?php
$string = "<h1 id="Hello-World">Hello World</h1>";

$sanitized_string = filter_var($string, FILTER_SANITIZE_STRING);
echo $sanitized_string;

filter_input() 函數從表單輸入獲取外部輸入並對其進行過濾。

它的工作方式與 filter_var() 函數類似，但它需要輸入類型（我們可以從 GET、POST、COOKIE、SERVER 或 ENV 中選擇）、要過濾的變量和過濾器。它還可以選擇性地獲取選項數組。

同樣，如果我們想檢查外部輸入變量“email”是否通過 GET 發送到我們的應用程序，我們可以使用以下代碼：

<?php
if (filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL)) {
    echo "The email is being sent and is valid.";
}

結論

這些是 PHP 中數據過濾的基礎知識。可以使用其他技術來過濾外部數據，例如應用正則表達式，但是我們在本文中看到的技術對於大多數用例來說已經足夠了。

確保您了解驗證和清理之間的區別以及如何使用過濾器函數。有了這些知識，您的 PHP 應用程序將更加可靠和安全！

關於 PHP 數據過濾的常見問題解答 (FAQ)

PHP 數據過濾的重要性是什麼？

PHP 數據過濾對於確保 Web 應用程序的安全性和完整性至關重要。它有助於驗證和清理用戶輸入，這是 SQL 注入和跨站點腳本 (XSS) 等安全漏洞的常見來源。通過過濾數據，您可以防止惡意或錯誤的數據對您的應用程序或數據庫造成損害。它還有助於維護數據一致性和可靠性，這對於應用程序的順利運行至關重要。

PHP 數據過濾是如何工作的？

PHP 數據過濾通過對數據應用特定的過濾器函數來工作。這些函數可以驗證數據（檢查數據是否滿足特定條件）或清理數據（從數據中刪除任何非法或不安全的字符）。 PHP 提供了各種內置過濾器函數，您可以使用它們，例如 filter_var()、filter_input() 和 filter_has_var()。

一些常見的 PHP 過濾器函數是什麼以及如何使用它們？

一些常見的 PHP 過濾器函數包括 filter_var()、filter_input()、filter_has_var() 和 filter_id()。 filter_var() 函數使用指定的過濾器過濾變量。 filter_input() 函數按名稱獲取特定的外部變量並對其進行可選過濾。 filter_has_var() 函數檢查指定輸入類型的變量是否存在，而 filter_id() 函數返回屬於命名過濾器的過濾器 ID。

如何在 PHP 中使用 filter_var() 函數？

PHP 中的 filter_var() 函數用於使用指定的過濾器過濾變量。它接受兩個參數：要過濾的變量和要應用的過濾器類型。例如，要驗證變量是否為電子郵件，您可以將 FILTER_VALIDATE_EMAIL 過濾器與 filter_var() 函數一起使用，如下所示：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

在 PHP 中驗證和清理數據有什麼區別？

在 PHP 中驗證數據涉及檢查數據是否滿足特定條件。例如，您可以驗證電子郵件地址以確保其格式正確。另一方面，清理數據涉及從數據中刪除或替換任何非法或不安全的字符。這通常是為了防止 SQL 注入和跨站點腳本 (XSS) 等安全漏洞。

如何在 PHP 中清理用戶輸入？

您可以使用 filter_input() 函數和清理過濾器在 PHP 中清理用戶輸入。例如，要清理用戶名 GET 輸入，您可以使用 FILTER_SANITIZE_STRING 過濾器，如下所示：

<?php
$string = "<h1 id="Hello-World">Hello World</h1>";

$sanitized_string = filter_var($string, FILTER_SANITIZE_STRING);
echo $sanitized_string;

一些常見的 PHP 過濾器標誌是什麼以及如何使用它們？

PHP 過濾器標誌用於向過濾過程添加額外的約束或修飾符。一些常見的標誌包括 FILTER_FLAG_STRIP_LOW、FILTER_FLAG_STRIP_HIGH、FILTER_FLAG_ENCODE_LOW 和 FILTER_FLAG_ENCODE_HIGH。例如，FILTER_FLAG_STRIP_LOW 標誌從輸入中去除 ASCII 值低於 32 的字符。

如何在 PHP 中使用過濾器標誌？

您可以通過將它們作為第三個參數傳遞給 filter_var() 或 filter_input() 函數來在 PHP 中使用過濾器標誌。例如，要過濾 IP 地址並僅允許 IPv4 地址，您可以使用 FILTER_FLAG_IPV4 標誌，如下所示：

<?php
if (filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL)) {
    echo "The email is being sent and is valid.";
}

PHP 中的 filter_has_var() 函數是什麼？

PHP 中的 filter_has_var() 函數用於檢查指定輸入類型的變量是否存在。它接受兩個參數：輸入類型和變量的名稱。如果變量存在，則返回 TRUE；否則，返回 FALSE。

如何在 PHP 中使用 filter_has_var() 函數？

您可以使用 PHP 中的 filter_has_var() 函數來檢查特定輸入變量是否存在。例如，要檢查名為“username”的 POST 變量是否存在，您可以這樣做：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

以上是快速提示：如何使用PHP過濾數據的詳細內容。更多資訊請關注PHP中文網其他相關文章！