PHP 如何过滤输入

在做网页或小程序时，用户输入的内容就像快递包裹——如果不拆开来检查，可能会混着碎纸屑、小零件，甚至是不小心混进去的尖锐杂物，扔去仓库会弄坏货架，送到客户手里也会让人受伤。处理用户输入也是同样的道理：如果直接把用户填的内容存进网站数据库，可能会被坏人利用，搞出恶意代码、垃圾信息，甚至让整个网站瘫痪。这时候，“过滤输入”就成了保护网站的第一道防线。

什么是PHP的输入过滤？

简单来说，PHP的输入过滤就是“给用户的内容做安检”——把可能有问题的内容挑出来，要么删掉，要么处理成安全的样子，再用在网站里。比如用户想在留言板留一句“我喜欢吃苹果”，过滤后就原样保留；但如果有人输入了一段偷偷改网站后台的代码，过滤工具就会把这些代码删掉，只留下正常的文字。

最常用的过滤方法：先看“输入的地方”

很多人不知道，过滤输入不是只靠代码工具，还要先搞清楚内容是从哪里来的——不同的输入来源，安全风险也不一样。

比如用户在网页表单里填的内容，会通过POST请求传到PHP里；而网址后面跟着的参数，比如“https://你的网站.com/search?keyword=苹果”，“苹果”这个参数就是GET请求来的。这两种来源的内容，处理方法有点不一样。

举个生活化的例子：POST就像你当面把信交给快递员，快递员会仔细检查你写的内容；GET就像你把信塞进邮箱的投信口，可能会被风吹乱，或者有人偷看，所以检查得更严一点。

基础过滤：去掉“调皮的符号”

PHP里有个很实用的函数叫filter_var()，就像个简单的安检员，能快速检查常见的危险内容。比如有人在输入框里填了带引号的内容，或者HTML标签，filter_var()能把这些可能用来搞破坏的符号去掉。

举个例子：用户输入<script>偷偷删数据</script>，用filter_var()过滤后，就会变成空内容，不会执行任何代码。还有，如果输入的是邮箱地址，这个函数能帮你检查是不是真的邮箱格式——比如少了@或者域名的，就会被拦下来，提示用户填正确的邮箱。

进阶过滤：专门处理表单数据

如果是用户在表单里填的多个内容，比如注册时的用户名、密码、地址，就需要用更细致的过滤方法。这里可以用filter_input_array()，就像给整个表单做全身检查，不同的内容用不同的规则。

比如用户名只能是汉字、字母、数字，不能有符号；地址可以允许标点符号，但不能有代码。举个实际的场景：用户注册时填用户名“张三123!”，带了个感叹号，过滤后就会把感叹号删掉，变成“张三123”，符合用户名的规则；如果用户填的地址是“北京市朝阳区123号<script>”，过滤后就会把代码去掉，变成“北京市朝阳区123号”。

过滤不是“一劳永逸”，还要结合其他安全手段

很多人以为只要会用PHP的过滤函数就够了，其实不对——过滤输入只是第一道防线，还要结合“输出过滤”，也就是把内容展示给用户前再检查一次。比如你把过滤后的内容显示在网页上，还是要再处理一次，防止有人用新的方式绕过之前的过滤。

另外，还要注意，过滤不是“删除所有特殊字符”，比如用户想输入“我家的猫叫‘咪咪’”，这里的单引号是正常的，不能删掉，不然内容会变得不通顺。所以过滤要“精准”，只去掉可能有危险的部分，不是一概而论。

总之，PHP过滤输入的核心，就是把用户的内容当成“需要安检的包裹”，根据来源和用途用合适的方法检查，再用在网站里——这样既能保护网站安全，又不会影响用户的正常输入体验。