關於PHP 過濾器（Filter）的相關了解

PHP 過濾器用於驗證和過濾來自非安全來源的數據，例如使用者的輸入，本篇將詳細的了解過濾器的相關知識。

什麼是 PHP 過濾器？

PHP 過濾器用於驗證和過濾來自非安全性來源的資料。

驗證和過濾使用者輸入或自訂資料是任何 Web 應用程式的重要組成部分。

設計 PHP 的過濾器擴充功能的目的是讓資料過濾更輕鬆快速。

為什麼要使用過濾器？

幾乎所有 web 應用程式都依賴外部的輸入。這些數據通常來自使用者或其他應用程式（例如 web 服務）。透過使用過濾器，您能夠確保應有程序獲得正確的輸入類型。

您應該始終對外部資料進行過濾！

輸入過濾是最重要的應用程式安全主題之一。

什麼是外部資料？

來自表單的輸入資料

Cookies

伺服器變數

資料庫查詢結果

函數與篩選器

如需過濾變量，請使用下面的過濾器函數之一：

filter_var() - 透過一個指定的過濾器來過濾單一的變數

filter_var_array() - 通過相同的或不同的過濾器來過濾多個變數

filter_input - 取得一個輸入變數，並對它進行過濾

filter_input_array - 取得多個輸入變量，並透過相同的或不同的過濾器對它們進行過濾

在下面的例子中，我們用filter_var() 函數驗證了一個整數：

<?php
$int = 123;
if(!filter_var($int, FILTER_VALIDATE_INT))
 {
 echo("Integer is not valid");
 }
else
 {
 echo("Integer is valid");
 }
?>

上面的程式碼使用了"FILTER_VALIDATE_INT" 過濾器來過濾變數。由於這個整數是合法的，因此程式碼的輸出是："Integer is valid"。

假如我們嘗試使用一個非整數的變量，則輸出是："Integer is not valid"。

如需完整的函數和篩選器列表，請造訪我們的 PHP Filter 參考手冊。

Validating 和Sanitizing

有兩個篩選器：

Validating 篩選器：

用於驗證使用者輸入

##嚴格的格式規則（例如URL 或E-Mail 驗證）

如果成功則傳回預期的類型，如果失敗則傳回FALSE

Sanitizing 篩選器：

用於允許或禁止字串中指定的字元

無資料格式規則

始終傳回字串

#選項和標誌

#選項和標誌用於指定的過濾器添加額外的過濾選項。

不同的濾鏡有不同的選項和標誌。

在下面的範例中，我們用filter_var() 和"min_range" 以及"max_range" 選項驗證了一個整數：

<?php
$var=300;$int_options = array(
"options"=>array
 (
 "min_range"=>0,
 "max_range"=>256
 )
);if(!filter_var($var, FILTER_VALIDATE_INT, $int_options))
 {
 echo("Integer is not valid");
 }
else
 {
 echo("Integer is valid");
 }
?>

就像上面的程式碼一樣，選項必須放入一個名為"options" 的相關數組中。如果使用標誌，則不需要在數組內。

由於整數是 "300"，它不在指定的範圍內，以上程式碼的輸出將會是 "Integer is not valid"。

如需完整的函數及篩選器列表，請造訪 W3School 提供的 PHP Filter 參考手冊。您可以看到每個過濾器的可用選項和標誌。

驗證輸入

讓我們試著驗證來自表單的輸入。

我們需要做的第一件事情是確認是否存在我們正在尋找的輸入資料。

然後我們用 filter_input() 函數過濾輸入的資料。

在下面的範例中，輸入變數"email" 被傳到PHP 頁面：

<?php
if(!filter_has_var(INPUT_GET, "email"))
 {
 echo("Input type does not exist");
 }
else
 {
 if (!filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL))
  {
  echo "E-Mail is not valid";
  }
 else
  {
  echo "E-Mail is valid";
  }
 }
?>

範例解釋：

上面的範例有一個透過"GET" 方法傳送的輸入變數(email)：

偵測是否存在"GET" 類型的"email" 輸入變數

如果存在輸入變量，偵測它是否是有效的郵件地址

淨化輸入

讓我們試著清理一下從表單傳來的URL。

首先，我們要確認是否存在我們正在尋找的輸入資料。

然後，我們用 filter_input() 函數來淨化輸入資料。

在下面的範例中，輸入變數"url" 傳到PHP 頁面：

<?php
if(!filter_has_var(INPUT_POST, "url"))
 {
 echo("Input type does not exist");
 }
else
 {
 $url = filter_input(INPUT_POST, "url", FILTER_SANITIZE_URL);
 }
?>

範例解釋：

上面的範例有一個透過"POST" 方法傳送的輸入變數(url)：

偵測是否存在"POST" 類型的"url" 輸入變數

如果存在此輸入變量，對其進行淨化（刪除非法字元），並將其儲存在$url 變數中

假如輸入變數類似這樣："http://www.W3非o法ol.com.c字元n/"，則淨化後的$url 變數應該是這樣的：

http://www.W3School.com.cn/

過濾多個輸入

表單通常由多個輸入欄位組成。為了避免對 filter_var 或 filter_input 重複調用，我們可以使用 filter_var_array 或 the filter_input_array 函數。

在本例中，我們使用 filter_input_array() 函數來過濾三個 GET 變數。接收到的 GET 變數是一個名字、一個年齡、一個郵件地址：

<?php$filters = array
 (
 "name" => array
  (
  "filter"=>FILTER_SANITIZE_STRING
  ),
 "age" => array
  (
  "filter"=>FILTER_VALIDATE_INT,
  "options"=>array
   (
   "min_range"=>1,
   "max_range"=>120
   )
  ),
 "email"=> FILTER_VALIDATE_EMAIL,
 );$result = filter_input_array(INPUT_GET, $filters);
if (!$result["age"])
 {
 echo("Age must be a number between 1 and 120.<br />");
 }
elseif(!$result["email"])
 {
 echo("E-Mail is not valid.<br />");
 }
else
 {
 echo("User input is valid");
 }
?>

例子解释：

上面的例子有三个通过 "GET" 方法传送的输入变量 (name, age and email)

设置一个数组，其中包含了输入变量的名称，以及用于指定的输入变量的过滤器

调用 filter_input_array 函数，参数包括 GET 输入变量及刚才设置的数组

检测 $result 变量中的 "age" 和 "email" 变量是否有非法的输入。（如果存在非法输入，）

filter_input_array() 函数的第二个参数可以是数组或单一过滤器的 ID。

如果该参数是单一过滤器的 ID，那么这个指定的过滤器会过滤输入数组中所有的值。

如果该参数是一个数组，那么此数组必须遵循下面的规则：

必须是一个关联数组，其中包含的输入变量是数组的键（比如 "age" 输入变量）

此数组的值必须是过滤器的 ID ，或者是规定了过滤器、标志以及选项的数组

使用 Filter Callback

通过使用 FILTER_CALLBACK 过滤器，可以调用自定义的函数，把它作为一个过滤器来使用。这样，我们就拥有了数据过滤的完全控制权。

您可以创建自己的自定义函数，也可以使用已有的 PHP 函数。

规定您准备用到过滤器函数的方法，与规定选项的方法相同。

在下面的例子中，我们使用了一个自定义的函数把所有 "_" 转换为空格：

<?phpfunction convertSpace($string)
{
return str_replace("_", " ", $string);
}$string = "Peter_is_a_great_guy!";
echo filter_var($string, FILTER_CALLBACK, array("options"=>"convertSpace"));
?>

以上代码的结果是这样的：

Peter is a great guy!

例子解释：

上面的例子把所有 "_" 转换成空格：

创建一个把 "_" 替换为空格的函数

调用 filter_var() 函数，它的参数是 FILTER_CALLBACK 过滤器以及包含我们的函数的数组。

本篇对过滤器进行了讲解，更多的学习资料清关注php中文网即可观看。

相关推荐：

关于对PHP 异常处理的操作

关于PHP 文件打开/读取/读取相关知识

关于PHP Include 文件的讲解

以上是關於PHP 過濾器（Filter）的相關了解的詳細內容。更多資訊請關注PHP中文網其他相關文章！