PHP - 输入数据过滤

在 PHP 中，确保输入数据经过适当的过滤非常重要，在服务器端代码处理数据之前，需移除任何不需要的字符。通常，用户通过 HTML 表单将数据输入到 PHP Web 应用程序中。如果表单数据包含任何不需要的字符，可能会造成危害，因此必须执行适当的清理操作。

可以使用 PHP 中的一个或多个以下函数进行输入过滤。

htmlspecialchars() 函数

此函数将特殊字符转换为 HTML 实体。

htmlspecialchars(
   string $string,
   int $flags = ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401,
   ?string $encoding = null,
   bool $double_encode = true
): string

在 HTML 中，某些字符具有特殊含义。此 htmlspecialchars() 函数用于将特殊字符编码为 HTML 实体。当您希望将用户输入显示为 HTML 并希望防止脚本注入攻击时，这很有用。

以下特殊字符将按如下所示转换：

字符	替换为
& (和号)	&
" (双引号)	", 除非设置了ENT_NOQUOTES
' (单引号)	' (对于ENT_HTML401) 或 ' (对于ENT_XML1, ENT_XHTML 或ENT_HTML5)，但仅当设置了ENT_QUOTES 时
< (小于号)	<
> (大于号)	>

标志常量

flags 参数是以下一个或多个标志的位掩码，这些标志指定如何处理引号、无效代码单元序列和使用的文档类型。

序号	常量 & 描述
1	ENT_COMPAT 将转换双引号并保留单引号。
2	ENT_QUOTES 将转换双引号和单引号。
3	ENT_NOQUOTES 将保留双引号和单引号。
4	ENT_IGNORE 丢弃无效代码单元序列，而不是返回空字符串。
5	ENT_SUBSTITUTE 将无效代码单元序列替换为 Unicode 替换字符 U+FFFD (UTF-8) 或 �。
6	ENT_DISALLOWED 将给定文档类型中无效的代码点替换为 Unicode 替换字符 U+FFFD (UTF-8) 或 � (否则)，而不是保留它们。这可能很有用。
7	ENT_HTML401 将代码处理为 HTML 4.01。
8	ENT_XML1 将代码处理为 XML 1。
9	ENT_XHTML 将代码处理为 XHTML。
10	ENT_HTML5 将代码处理为 HTML 5。

示例

请查看以下示例：

<?php
   $str = 'Welcome To "PHP Tutorial" by <b>TutorialsPoint</b>';
   echo htmlspecialchars($str);
?>

它将产生以下输出：

Welcome To "PHP Tutorial" by <b>TutorialsPoint</b>

strip_tags() 函数

strip_tags() 函数从给定字符串中删除所有 HTML 和 PHP 标记。

strip_tags(string $string, array|string|null $allowed_tags = null): string

当您希望确保用户输入不包含任何潜在的恶意标记时，此函数非常有用。

allowed_tags 参数是一个可选的第二个参数，用于指定不应去除的标记。它们要么以字符串形式给出，要么以数组形式给出。

示例

请查看以下示例：

<?php
   $text = '<p>Hello World</p><!-- Comment --> 
      <a href="/test.html">Click Here</a>';
   echo strip_tags($text);
   echo "\n";

   // Allow <p> and <a>
   echo strip_tags($text, '<p><a>');
?>

它将产生以下输出：

Hello World 
      Click Here
Hello World

 
      Click Here

addslashes() 函数

addslashes() 函数向字符串添加反斜杠。

addslashes(string $string): string

该函数返回一个字符串，在需要转义的字符前添加反斜杠。这些字符是：

单引号 (')
双引号 (")
反斜杠 (\)
NUL (空字节)

当您将用户输入存储到数据库中并希望防止 SQL 注入攻击时，请使用此函数。

示例

请查看以下示例：

<?php
   $text = "Newton's Laws";
   $str = addslashes($text);  

   // prints the escaped string 
   echo($str);  
?>

它将产生以下输出：

Newton\'s Laws

filter_var() 函数

借助特定的过滤器标志，您可以使用 filter_var() 函数过滤用户输入。

filter_var(mixed $value, int $filter = 
   FILTER_DEFAULT, array|int $options = 0): mixed

$value 参数是一个需要过滤其值的变量。$filter 参数是任何预定义的过滤器常量。

序号	ID & 描述
1	FILTER_SANITIZE_EMAIL 删除除字母、数字和 !#$%&'*+-=?^_`{\|}~@.[]. 之外的所有字符。
2	FILTER_SANITIZE_ENCODED URL 编码字符串，可选地去除或编码特殊字符。
3	FILTER_SANITIZE_ADD_SLASHES 应用 addslashes()。（从 PHP 7.3.0 开始可用）。
4	FILTER_SANITIZE_NUMBER_FLOAT 删除除数字、+- 和可选的 .,eE 之外的所有字符。
5	FILTER_SANITIZE_NUMBER_INT 删除除数字、加号和减号之外的所有字符。
6	FILTER_SANITIZE_SPECIAL_CHARS HTML 编码 '"<>& 和 ASCII 值小于 32 的字符，可选地去除或编码其他特殊字符。特殊字符。
7	FILTER_SANITIZE_FULL_SPECIAL_CHARS 等效于调用 htmlspecialchars() 并设置ENT_QUOTES。可以通过设置FILTER_FLAG_NO_ENCODE_QUOTES 来禁用编码引号。
8	FILTER_SANITIZE_URL 删除除字母、数字和 $-_.+!*'(),{}\|\\^~[]`<>#%";/?:@&=.
9	FILTER_UNSAFE_RAW

示例

以下代码展示了如何过滤电子邮件数据：

<?php
   $a = 'abc [email protected]';

   $sa = filter_var($a, FILTER_SANITIZE_EMAIL);
   echo "$sa";
?>

它将产生以下输出：

[email protected]

示例

以下代码展示了如何过滤 URL：

<?php
   $a = "http://example.c o m";

   $sa = filter_var($a, FILTER_SANITIZE_URL);
   echo "$sa";
?>

它将产生以下输出：

http://example.com

打印页面