PHP 的过滤器（Filter）

PHP 过滤器用于验证和过滤来自非安全来源的数据，比如用户的输入。

PHP 过滤器：

PHP过滤器用于验证和过滤来自非安全来源的数据。
验证和过滤用户输入或自定义数据是任何web应用程序的重要组成部分。
设计PHP的过滤器扩展的目的是使数据过滤更轻松快捷。

为何使用使用过滤器？

1）几乎所有web应用程序都依赖外部的输入。这些数据通常来自用户或其他应用程序（比如web服务）。通过使用过滤器，你可以确保应有程序获得正确的输入类型。

2）你应该始终对外部数据进行过滤！// 这个是规范

3）输入过滤是最重要的应用程序安全课题之一。

什么是外部数据？

来自表单的输入数据
cookies
服务器变量
数据库查询结果

函数和过滤器

过滤变量的方式，可以任选下面的过滤器函数之一：

filter_var() 通过一个指定的过滤器来过滤单一的变量
filter_var_array() 通过相同的或者不同的过滤器来过滤多个变量
filter_input() 获取一个输入变量，并对它进行过滤
filter_input_array 获取多个输入变量，并通过相同的或者不同的过滤器对它们进行过滤

例子：我们使用filter_var()函数验证了一个整数：

<?php
    $int = 123;
    if(!filter_var($int, FILTER_VALIDATE_INT)) {
        echo ("Integer is not valid");
    }else {
        echo ("Integer is valid");
    }
?>

上面的代码使用了"FILTER_VALIDATE_INT"过滤器来过滤变量。
由于这个整数是合法的，因此代码的输出是："Integer is valid"

有2种过滤器：

Validating 和 Sanitizing

Validating 过滤器：

用于验证用户输入
严格的格式规则（比如URL 或 E-Mail 验证）
如果成功则返回预期的类型，如果失败则返回FALSE

Sanitizing 过滤器：

用于允许或禁止字符串中指定的字符
无数据格式规则
始终返回字符串

选项和标志

选项和标志用于向指定的过滤器添加额外的过滤选项。
不同的过滤器有不同的选项和标志。

eg:我们使用filter_var()和min_range以及max_range选项验证一个整数：

<?php
    $var = 300;
    $int_options = arrar(
       "min_range" => 0,
       "max_range" => 256
    );
?>

if (!filter_var($var, FILTER_VALIDATE_NT, $int_options)) {
    echo ("Integer is not valid");
}else {
    echo ("Integer is valid");
}

验证输入

让我们试着验证来自表单的输入。
我们需要做的第一件事就是确认是否存在我们正在查找的输入数据。
然后我们用filter_input() 函数过滤输入的数据。

输入变量email被传到php页面：

<?php
    if(!filter_has_var(INPUT_GET, "email")){
        echo ("Input type does not exists");
    }else {
        if (!filter_input(INPUT_GET, "email", FILTER_VALIDATE_EMAIL)) {
            echo "E-Mail is not valid";
        }else {
         
        }
    }
?>

例子解释：有一个通过“GET”方法传送的输入变量（email）：
1）检测是否存在GET类型的email输入变量
2）如果存在输入变量，检测它是否有效的邮件地址

净化输入

试着清理一下表单传来的URL。
首先，我们要确认是否存在我们正在查找的输入数据。
然后，我们用filter_input()函数来净化输入数据。

<?php
if(!filter_has_var(INPUT_POST, "url"))
 {
 echo("Input type does not exist");
 }
else
 {
 $url = filter_input(INPUT_POST, "url", FILTER_SANITIZE_URL);
 }
?>

sanitize: 使...无害

检测是否存在POST类型的url输入变量.
如果穿在此输入变量，对其进行净化（删除非法字符），并将其存储在$url变量中

假如输入变量类似这样："http://www.W3非o法ol.com.c字符n/"，则净化后的 $url 变量应该是这样的：

http://www.W3School.com.cn/

过滤多个输入

表单通常由多个输入字段组成。为了避免对filter_var或者filter_input重复调用，我们可以使用filter_var_array或者thefilter_input_array函数。

eg:使用filter_inpup_array()函数来过滤三个GET变量。接受到的GET变量是一个名字，一个年龄以及一个邮件地址。

<?php
    $filter=arrar(
        "name" => array(
            "filter"=>FILTER_SANITIZE_STRING
        ),
        "age"=> array(
            "filter"=>FILTER_VALIDATE_INT,
            "options"=>array(
                 "min_range"=>1,
                 "max_range"=>120
            )
        ),
       "email"=>FILTER_VALIDATE_EMAIL
    );
?>

$result = filter_input_array(INPUT_GET, $filters);

if (!$result["age"]) {
    echo("Age must be a number between 1 and 120.<br>");
}elseif(!$result["email"]){
    echo("E-mail is not valid");
}else {
    echo("User input is valid");
}

使用Filter Callback

通过使用FILTER_CALLBACK 过滤器，可以调用自定义的函数，吧它作为一个过滤器来使用。这样我们就拥有了数据过滤器的完全控制权。
可以自定义函数，也可以使用已经有的PHP函数。
规定你准备用到过滤器函数的方法，与规定选项的方法相同。

eg:使用一个自定义的函数吧所有的_转换为空格：

<?php
    function convertUnderlineToSpace($string){
        return str_replace("_", " ", $string);
    }

    $string = "Peter_is_a_great_guy!";
    echo filter_var($string, FILTER_CALLBACK, array("options"=>"convertSpace"));
?>

PHP 的过滤器（Filter）

推荐阅读更多精彩内容