PHP如何验证用户输入的数据_PHP服务器端数据验证策略

filter_var()

filter_input()

@

FILTER_VALIDATE_EMAIL

htmlspecialchars()

strip_tags()

preg_match()

<?php
// 示例：一个简单的PHP服务器端数据验证流程

// 假设这是用户通过POST请求提交的数据
$userData = [
    'username' => 'test_user',
    'email' => 'invalid-email', // 故意设置一个无效邮件
    'password' => '12345',      // 故意设置一个弱密码
    'age' => '25',
    'website' => 'http://example.com',
    'comment' => '<script>alert("XSS");</script>Hello World!'
];

$errors = [];

// 1. 用户名验证：非空，长度限制，只允许字母、数字、下划线
if (empty($userData['username'])) {
    $errors['username'] = '用户名不能为空。';
} elseif (strlen($userData['username']) < 3 || strlen($userData['username']) > 20) {
    $errors['username'] = '用户名长度需在3到20个字符之间。';
} elseif (!preg_match('/^[a-zA-Z0-9_]+$/', $userData['username'])) {
    $errors['username'] = '用户名只能包含字母、数字和下划线。';
}

// 2. 邮件验证：使用filter_var进行格式验证
if (!filter_var($userData['email'], FILTER_VALIDATE_EMAIL)) {
    $errors['email'] = '请输入有效的邮箱地址。';
}

// 3. 密码验证：长度、包含大小写字母和数字（自定义复杂规则）
if (empty($userData['password'])) {
    $errors['password'] = '密码不能为空。';
} elseif (strlen($userData['password']) < 8) {
    $errors['password'] = '密码至少需要8个字符。';
} elseif (!preg_match('/[A-Z]/', $userData['password']) || !preg_match('/[a-z]/', $userData['password']) || !preg_match('/[0-9]/', $userData['password'])) {
    $errors['password'] = '密码必须包含大小写字母和数字。';
}

// 4. 年龄验证：必须是整数，且在合理范围
$age = filter_var($userData['age'], FILTER_VALIDATE_INT);
if ($age === false || $age < 0 || $age > 120) {
    $errors['age'] = '请输入一个有效的年龄。';
}

// 5. 网址验证：使用filter_var进行格式验证
$website = filter_var($userData['website'], FILTER_VALIDATE_URL);
if ($website === false) {
    $errors['website'] = '请输入一个有效的网址。';
}

// 6. 评论内容净化：防止XSS攻击
$sanitizedComment = htmlspecialchars($userData['comment'], ENT_QUOTES, 'UTF-8');

// 检查是否有错误
if (empty($errors)) {
    echo "数据验证成功！<br>";
    echo "净化后的评论: " . $sanitizedComment . "<br>";
    // 这里可以安全地处理数据，例如存入数据库
} else {
    echo "数据验证失败，请检查以下错误：<br>";
    foreach ($errors as $field => $message) {
        echo "- " . $field . ": " . $message . "<br>";
    }
}
?>

filter_var()

filter_input()

filter_input()

INPUT_GET

INPUT_POST

INPUT_COOKIE

INPUT_SERVER

INPUT_ENV

$_GET

$_POST

filter_var()

$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if ($email === false) {
    // 邮件格式无效
}

// 净化一个字符串，移除HTML标签
$comment = filter_input(INPUT_POST, 'comment', FILTER_SANITIZE_STRING);
// 注意：FILTER_SANITIZE_STRING 在 PHP 8.1.0 中已废弃，推荐使用 htmlspecialchars
$comment_safe = htmlspecialchars($comment ?? '', ENT_QUOTES | ENT_HTML5, 'UTF-8');

FILTER_VALIDATE_EMAIL

FILTER_VALIDATE_INT

filter_var

filter_input

if/else

isUniqueUsername

isStrongPassword

<?php
// 示例：一个简单的自定义验证器类

class CustomValidator
{
    protected $data;
    protected $rules;
    protected $errors = [];

    public function __construct(array $data)
    {
        $this->data = $data;
    }

    public function setRules(array $rules)
    {
        $this->rules = $rules;
        return $this;
    }

    public function validate(): bool
    {
        foreach ($this->rules as $field => $fieldRules) {
            foreach ($fieldRules as $ruleName => $ruleValue) {
                // 假设规则是 'required', 'min_length:5', 'email', 'unique:users,email'
                $value = $this->data[$field] ?? null;

                switch ($ruleName) {
                    case 'required':
                        if (empty($value)) {
                            $this->addError($field, "{$field} 不能为空。");
                        }
                        break;
                    case 'min_length':
                        if (strlen($value) < (int)$ruleValue) {
                            $this->addError($field, "{$field} 至少需要 {$ruleValue} 个字符。");
                        }
                        break;
                    case 'email':
                        if (!filter_var($value, FILTER_VALIDATE_EMAIL)) {
                            $this->addError($field, "{$field} 格式不正确。");
                        }
                        break;
                    case 'unique':
                        // 这是一个模拟的唯一性检查，实际需要查询数据库
                        list($table, $column) = explode(',', $ruleValue);
                        if ($this->isUniqueInDatabase($table, $column, $value)) {
                            $this->addError($field, "{$field} 已被占用。");
                        }
                        break;
                    // 可以添加更多自定义规则
                }
            }
        }
        return empty($this->errors);
    }

    protected function addError(string $field, string $message)
    {
        if (!isset($this->errors[$field])) {
            $this->errors[$field] = [];
        }
        $this->errors[$field][] = $message;
    }

    public function getErrors(): array
    {
        return $this->errors;
    }

    // 模拟数据库唯一性检查
    protected function isUniqueInDatabase(string $table, string $column, string $value): bool
    {
        // 实际应用中，这里会执行数据库查询
        // SELECT COUNT(*) FROM $table WHERE $column = :value
        // 如果 count > 0，则不唯一
        if ($table === 'users' && $column === 'email' && $value === 'existing@example.com') {
            return true; // 模拟已存在
        }
        return false; // 模拟不存在
    }
}

// 使用示例
$userData = [
    'username' => 'short',
    'email' => 'existing@example.com',
    'password' => '123'
];

$rules = [
    'username' => [
        'required' => true,
        'min_length' => 6,
    ],
    'email' => [
        'required' => true,
        'email' => true,
        'unique' => 'users,email',
    ],
    'password' => [
        'required' => true,
        'min_length' => 8,
    ]
];

$validator = new CustomValidator($userData);
$validator->setRules($rules);

if ($validator->validate()) {
    echo "数据验证通过！";
} else {
    echo "数据验证失败：<br>";
    print_r($validator->getErrors());
}
?>