關(guān)鍵要點(diǎn)

• 切勿信任應(yīng)用中的外部輸入。過濾應(yīng)用中包含的任何數(shù)據(jù)至關(guān)重要，以防止攻擊者註入代碼。
• PHP 中的兩種主要數(shù)據(jù)過濾類型是驗(yàn)證和清理。驗(yàn)證確保外部輸入符合預(yù)期，而清理則從外部輸入中刪除非法或不安全的字符。
• PHP 提供了一系列用於驗(yàn)證和清理的過濾器?？梢允褂?filter_var() 和 filter_input() 函數(shù)應(yīng)用這些過濾器，從而使您的 PHP 應(yīng)用程序更安全、更可靠。

本文將探討為什麼過濾應(yīng)用中包含的任何內(nèi)容如此重要。特別是，我們將研究如何在 PHP 中驗(yàn)證和清理外部數(shù)據(jù)。

絕對(duì)不要信任應(yīng)用中的外部輸入。這是任何開發(fā) Web 應(yīng)用程序的人都必須學(xué)習(xí)的最重要的經(jīng)驗(yàn)之一。

外部輸入可以是任何東西——從 $_GET 和 $_POST 表單輸入數(shù)據(jù)，HTTP 請(qǐng)求正文中的某些元素，甚至 $_SERVER 超全局變量中的某些值。 Cookie、會(huì)話值以及上傳和下載的文檔文件也被視為外部輸入。

每次我們將外部數(shù)據(jù)處理、輸出、包含或連接到我們的代碼中時(shí)，攻擊者都有可能將代碼注入到我們的應(yīng)用程序中（所謂的注入攻擊）。因此，我們需要確保每一段外部數(shù)據(jù)都經(jīng)過適當(dāng)?shù)倪^濾，以便可以安全地將其整合到應(yīng)用程序中。

在過濾方面，主要有兩種類型：驗(yàn)證和清理。

驗(yàn)證

驗(yàn)證確保外部輸入符合我們的預(yù)期。例如，我們可能期望一個(gè)電子郵件地址，因此我們期望類似於 name@domain.com 的格式。為此，我們可以使用 FILTER_VALIDATE_EMAIL 過濾器?；蛘撸绻覀兤谕粋€(gè)布爾值，我們可以使用 PHP 的 FILTER_VALIDATE_BOOL 過濾器。

最有用的過濾器包括 FILTER_VALIDATE_BOOL、FILTER_VALIDATE_INT 和 FILTER_VALIDATE_FLOAT 用於過濾基本類型，以及 FILTER_VALIDATE_EMAIL 和 FILTER_VALIDATE_DOMAIN 分別用於過濾電子郵件和域名。

另一個(gè)非常重要的過濾器是 FILTER_VALIDATE_REGEXP，它允許我們根據(jù)正則表達(dá)式進(jìn)行過濾。使用此過濾器，我們可以通過更改我們過濾的正則表達(dá)式來創(chuàng)建自定義過濾器。

所有 PHP 中可用於驗(yàn)證的過濾器都可以在此處找到。

清理

清理是從外部輸入中刪除非法或不安全字符的過程。

最好的例子是我們?cè)趯?shù)據(jù)庫輸入插入原始 SQL 查詢之前對(duì)其進(jìn)行清理。

同樣，一些最有用的清理過濾器包括用於清理基本類型的過濾器，例如FILTER_SANITIZE_STRING、FILTER_SANITIZE_CHARS 和FILTER_SANITIZE_INT，還有FILTER_SANITIZE_URL 和FILTER_SANITIZE_EMAIL 用於清理URL 和電子郵件。

所有 PHP 清理過濾器都可以在此處找到。

filter_var() 和 filter_input()

既然我們知道 PHP 提供了各種過濾器，我們就需要知道如何使用它們。

過濾器應(yīng)用是通過 filter_var() 和 filter_input() 函數(shù)完成的。

filter_var() 函數(shù)將指定的過濾器應(yīng)用於變量。它將獲取要過濾的值、要應(yīng)用的過濾器以及可選的選項(xiàng)數(shù)組。例如，如果我們嘗試驗(yàn)證電子郵件地址，我們可以使用以下代碼：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

如果目標(biāo)是清理字符串，我們可以使用以下代碼：

<?php
$string = "<h1>Hello World</h1>";

$sanitized_string = filter_var($string, FILTER_SANITIZE_STRING);
echo $sanitized_string;

filter_input() 函數(shù)從表單輸入獲取外部輸入並對(duì)其進(jìn)行過濾。

它的工作方式與 filter_var() 函數(shù)類似，但它需要輸入類型（我們可以從 GET、POST、COOKIE、SERVER 或 ENV 中選擇）、要過濾的變量和過濾器。它還可以選擇性地獲取選項(xiàng)數(shù)組。

同樣，如果我們想檢查外部輸入變量“email”是否通過 GET 發(fā)送到我們的應(yīng)用程序，我們可以使用以下代碼：

<?php
if (filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL)) {
    echo "The email is being sent and is valid.";
}

結(jié)論

這些是 PHP 中數(shù)據(jù)過濾的基礎(chǔ)知識(shí)。可以使用其他技術(shù)來過濾外部數(shù)據(jù)，例如應(yīng)用正則表達(dá)式，但是我們?cè)诒疚闹锌吹降募夹g(shù)對(duì)於大多數(shù)用例來說已經(jīng)足夠了。

確保您了解驗(yàn)證和清理之間的區(qū)別以及如何使用過濾器函數(shù)。有了這些知識(shí)，您的 PHP 應(yīng)用程序?qū)⒏涌煽亢桶踩?

關(guān)於 PHP 數(shù)據(jù)過濾的常見問題解答 (FAQ)

PHP 數(shù)據(jù)過濾的重要性是什麼？

PHP 數(shù)據(jù)過濾對(duì)於確保 Web 應(yīng)用程序的安全性和完整性至關(guān)重要。它有助於驗(yàn)證和清理用戶輸入，這是 SQL 注入和跨站點(diǎn)腳本 (XSS) 等安全漏洞的常見來源。通過過濾數(shù)據(jù)，您可以防止惡意或錯(cuò)誤的數(shù)據(jù)對(duì)您的應(yīng)用程序或數(shù)據(jù)庫造成損害。它還有助於維護(hù)數(shù)據(jù)一致性和可靠性，這對(duì)於應(yīng)用程序的順利運(yùn)行至關(guān)重要。

PHP 數(shù)據(jù)過濾是如何工作的？

PHP 數(shù)據(jù)過濾通過對(duì)數(shù)據(jù)應(yīng)用特定的過濾器函數(shù)來工作。這些函數(shù)可以驗(yàn)證數(shù)據(jù)（檢查數(shù)據(jù)是否滿足特定條件）或清理數(shù)據(jù)（從數(shù)據(jù)中刪除任何非法或不安全的字符）。 PHP 提供了各種內(nèi)置過濾器函數(shù)，您可以使用它們，例如 filter_var()、filter_input() 和 filter_has_var()。

一些常見的 PHP 過濾器函數(shù)是什麼以及如何使用它們？

一些常見的 PHP 過濾器函數(shù)包括 filter_var()、filter_input()、filter_has_var() 和 filter_id()。 filter_var() 函數(shù)使用指定的過濾器過濾變量。 filter_input() 函數(shù)按名稱獲取特定的外部變量並對(duì)其進(jìn)行可選過濾。 filter_has_var() 函數(shù)檢查指定輸入類型的變量是否存在，而 filter_id() 函數(shù)返回屬於命名過濾器的過濾器 ID。

如何在 PHP 中使用 filter_var() 函數(shù)？

PHP 中的 filter_var() 函數(shù)用於使用指定的過濾器過濾變量。它接受兩個(gè)參數(shù)：要過濾的變量和要應(yīng)用的過濾器類型。例如，要驗(yàn)證變量是否為電子郵件，您可以將 FILTER_VALIDATE_EMAIL 過濾器與 filter_var() 函數(shù)一起使用，如下所示：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

在 PHP 中驗(yàn)證和清理數(shù)據(jù)有什麼區(qū)別？

在 PHP 中驗(yàn)證數(shù)據(jù)涉及檢查數(shù)據(jù)是否滿足特定條件。例如，您可以驗(yàn)證電子郵件地址以確保其格式正確。另一方面，清理數(shù)據(jù)涉及從數(shù)據(jù)中刪除或替換任何非法或不安全的字符。這通常是為了防止 SQL 注入和跨站點(diǎn)腳本 (XSS) 等安全漏洞。

如何在 PHP 中清理用戶輸入？

您可以使用 filter_input() 函數(shù)和清理過濾器在 PHP 中清理用戶輸入。例如，要清理用戶名 GET 輸入，您可以使用 FILTER_SANITIZE_STRING 過濾器，如下所示：

<?php
$string = "<h1>Hello World</h1>";

$sanitized_string = filter_var($string, FILTER_SANITIZE_STRING);
echo $sanitized_string;

一些常見的 PHP 過濾器標(biāo)誌是什麼以及如何使用它們？

PHP 過濾器標(biāo)誌用於向過濾過程添加額外的約束或修飾符。一些常見的標(biāo)誌包括 FILTER_FLAG_STRIP_LOW、FILTER_FLAG_STRIP_HIGH、FILTER_FLAG_ENCODE_LOW 和 FILTER_FLAG_ENCODE_HIGH。例如，FILTER_FLAG_STRIP_LOW 標(biāo)誌從輸入中去除 ASCII 值低於 32 的字符。

如何在 PHP 中使用過濾器標(biāo)誌？

您可以通過將它們作為第三個(gè)參數(shù)傳遞給 filter_var() 或 filter_input() 函數(shù)來在 PHP 中使用過濾器標(biāo)誌。例如，要過濾 IP 地址並僅允許 IPv4 地址，您可以使用 FILTER_FLAG_IPV4 標(biāo)誌，如下所示：

<?php
if (filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL)) {
    echo "The email is being sent and is valid.";
}

PHP 中的 filter_has_var() 函數(shù)是什麼？

PHP 中的 filter_has_var() 函數(shù)用於檢查指定輸入類型的變量是否存在。它接受兩個(gè)參數(shù)：輸入類型和變量的名稱。如果變量存在，則返回 TRUE；否則，返回 FALSE。

如何在 PHP 中使用 filter_has_var() 函數(shù)？

您可以使用 PHP 中的 filter_has_var() 函數(shù)來檢查特定輸入變量是否存在。例如，要檢查名為“username”的 POST 變量是否存在，您可以這樣做：

<?php
$email = 'your.email@sitepoint.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo("This email is valid");
}

以上是快速提示：如何使用PHP過濾數(shù)據(jù)的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！