PHP 5.2后内置过滤器：提升数据验证与安全

52 浏览量更新于2024-08-30 收藏 95KB PDF 举报

PHP过滤器实现代码在现代Web开发中扮演着至关重要的角色。随着用户参与度的提高，网络环境逐渐转变为更加互动式的体验，用户不仅浏览网站，还能创建内容，这就对数据的安全性提出了更高的要求。为了确保网站数据的准确性和安全性，PHP从5.2版本开始引入了内置的filter函数，取代了之前的PCEL函数，提供了一套强大且灵活的数据过滤和验证机制。数据来源主要包括外部变量，如POST、GET、COOKIE等，以及页面内部产生的数据。PHP为此设计了filter_input_和filter_var_系列函数，根据数据验证的需求，可以分为验证（Validating）和净化（Sanitizing）两种模式。验证函数通常返回布尔值，如FILTER_VALIDATE_INT用于验证输入是否为整数，而净化函数则是清除或替换不安全字符，返回处理后的干净数据。在使用这些函数时，开发者可以选择适合的过滤器来处理数据。例如，之前可能会使用正则表达式或is_numeric函数检查输入是否为整数，但在PHP 5.2及以上版本中，可以直接调用filter_var()函数并传入FILTER_VALIDATE_INT常量。此外，PHP内置了大量的过滤器，可以通过filter_list()获取所有可用过滤器的名称及其对应的数字标识，以便于灵活选择和应用。总结来说，PHP过滤器的使用极大地简化了数据验证和清洗的过程，提高了代码的可维护性和安全性。在实际项目中，熟练掌握和应用这些功能对于构建健壮的Web应用程序至关重要。同时，随着PHP技术的不断更新，开发者应持续关注新功能和最佳实践，以应对日益复杂的安全挑战。

php 过滤器实现代码过滤器实现代码

在以前，一个用户通过网络主要是获取信息。而如今的网络刚更注重与用户的交互，用户不再仅仅是网站的浏览者，也是网站内容的制造者。由

以前单纯的“读”向“写”以及“共同创作”发展，由被动接收信息向主动分行信息发展。而随之而来的安全问题也成了web开发者不可忽视的问题，验

证第三方来源的数据成了每个web程序必不可少的功能。

在以前，PHP需要验证数据，一般都是程序员自己通过正则表达式实现，而从PHP从5.2开始把原本的PCEL中的filter函数移到了内置库中，并做

了不少强化，可以用这些函数实现对数据的过滤和验证。

数据来源及验证类型

PHP中的数据来源包含两部分，其一是外部变量（如POST、GET、COOKIE等），还有一种是页面内部产生的数据。PHP针对这两种数据类型

分别定义了ilter_input_**和filter_var_**系列函数。而依据验证方法的不一样又可以分为Validating和Sanitizing两种。Validating用于验证数据，返

回一个布尔值。Sanitizing则按规则过滤一些特定的字符，返回的是处理后的字符串。

简单用法

比如验证一个字符串是否是一个整数，在以往我们可以通过正则表达式或是is_numeric函数实现：

复制代码代码如下:

$str = ’51ab’;

preg_match(‘/^[0-9]*$/’, $str);

is_numeric($str);

新的验证函数可以用以下方式：

$str = ’51ab’;

echo filter_var($str, FILTER_VALIDATE_INT) ? ‘is valid’ : ‘is not valid’;FILTER_VALIDATE_INT是PHP定义的一个过滤器，用于验证$str是否为

一个整数。实际上这就是一个数值常量，通过echo FILTER_VALIDATE_INT;发现值为257。所以我们也可以用：

$str = ’51ab’;

echo filter_var($str, 257) ? ‘is valid’ : ‘is not valid’;PHP中定义了大量常用的过滤器，我们可以通过filter_list()获得所有支持的过滤器名称（用字符

串表示），然后再用filter_id(string)获取其数值：

print_r(filter_list()); // 所有支持的过滤器名称。

echo ‘=========’;

echo filter_id(‘int’); // ‘int’ 是filter_list返回的一个过滤器名称。以上将输入出类似以下内容：

array(0=>int’,1=>’boolean’,2=>’float’,3=>’validate_regexp’)

==========

257Sanitizing过滤器

上面这个是验证数据格式是否正确，有时候过滤掉无关的内容也是挺重要的。SANITIZE过滤提供了这种功能，比如过滤掉一个email中多余的字

符：

$email = ‘<script>alert(“test”);</sript>xxx@caixw.com’;

echo $email; // 直接输出，将会执行script脚本。

echo filter_var($email, FILTER_SANITIZE_EMAIL); // 会过滤掉<和>输出scriptalerttestscriptxxx@caixw.com选项和标志

filter_var的功能还不止于此，还可以指定第三个参数，附加一些特殊的选项，比如一个规定了最大值的整数：

复制代码代码如下:

$options = array(

‘options’=>array(‘max_range’=>50),

‘flags’=>FILTER_FLAG_ALLOW_OCTAL,

);

$str = ’51’;

echo filter_var($str, FILTER_VALIDATE_INT, $options) ? ‘is valid’ : ‘is not valid’;

上面将返回is not valid。因为max_range规定其最大值只能为50。而FILTER_FLAG_ALLOW_OCTAL则允许验证的数据是一个八进制的，也即是

0开头的。

$options参数是一个数组，包含两个元素：options和flags。若是只有flags元素，则也可以直接传递而不用数组。

验证外部数据

除了PHP脚本自己产生的数据，来自用户提交的数据占大部分。当然我们也可以直接用filter_var进行过滤：

复制代码代码如下:

if(isset($_GET[‘age’]))

{

echo filter_var($_GET[‘age’], FILTER_VALIDATE_INT) ? ‘is valid’ : ‘is not valid’;

}

但是PHP中还专门提供了几个函数用于验证外部来源的数据：

复制代码代码如下:

if(filter_has_var(INPUT_GET, ‘age’))

{

echo filter_input(INPUT_GET, ‘age’, FILTER_VALIDATE_INT) ? ‘is valid’ : ‘is not valid’;

}

相较于filter_var，filter_input多了一个参数(第一个参数)用于指定数据的来源。而filter_has_var()而用来判断是否存在指定的数据。

一次过滤多个数据

PHP还提供了filter_var_array和filter_input_array函数用于一次性验证多个数据。

这是来自php.net上的一个实例，用于说明filter_var_array()怎么使用。

复制代码代码如下:

$data = array(

‘product_id’ => ‘libgd<script>’,

‘component’ => ’10’,

‘versions’ => ‘2.0.33’,

‘testscalar’ => array(‘2′, ’23’, ’10’, ’12’),

‘testarray’ => ‘2’,

);

$args = array(

‘product_id’ => FILTER_SANITIZE_ENCODED,

‘component’ => array(‘filter’ => FILTER_VALIDATE_INT,

下载后可阅读完整内容，剩余5页未读，立即下载

weixin_38729336

粉丝: 7
资源: 925

PHP 5.2后内置过滤器：提升数据验证与安全

php过滤危险html代码

PHP利用正则过滤掉js脚本代码

PHP数据过滤器实现与安全应用集成

php 过滤危险html代码

PHP 过滤页面中的BOM(实现代码)

PHP过滤器的实现方法第1/2页

php中使用array_filter()函数过滤空数组的实现代码

用php过滤危险html代码的函数

Laravel Eloquent 模型的 过滤器_PHP_代码_相关文件_下载

封装HTMLPurifier的富文本过滤器实现自定义白名单机制

最新资源

Laravel Eloquent 模型的过滤器_PHP_代码_相关文件_下载