核心在于解析、验证和清洗JSON数据以确保安全性和完整性。首先使用json_decode配合错误处理解析JSON，接着通过filter_var等函数对字段进行类型验证和过滤，如邮箱、整数范围、字符串清理等，并用strip_tags或htmlspecialchars防止XSS；对于嵌套结构，采用递归函数结合预定义schema进行深度校验，确保数据符合预期格式且无恶意内容，从而防范注入攻击、逻辑错误和数据污染。
!["php如何过滤json数据_phpjson数据安全解析教程"]("https://img.php.cn/upload/article/001/503/042/175877484777292.png")
PHP中过滤JSON数据，核心在于通过解析、验证和清洗来确保数据的完整性、安全性和符合预期。这不仅仅是移除“坏”字符，更是对输入数据结构和内容的全面审查，以防范跨站脚本（XSS）、SQL注入以及应用程序逻辑错误等潜在风险。我们通常会结合json_decode的错误处理机制，以及filter_var、filter_input系列函数进行基础过滤，再辅以自定义的递归校验逻辑，特别是对于嵌套结构的数据。
PHP处理JSON数据安全，我个人觉得，最重要的就是“不信任任何外部输入”。这句话听起来有点老生常谈，但在实际开发中，尤其是在处理来自前端或第三方API的JSON数据时，往往容易被忽视。过滤JSON数据，说白了，就是要把那些可能带来麻烦的、不符合我们预期的内容，在它们进入系统核心处理流程之前，就给拦下来或者修正掉。这包括但不限于：
<?php
// 假设这是从请求体获取的原始JSON字符串
$jsonString = '{"name": "John Doe", "email": "john@example.com", "age": "30", "bio": "<script>alert(\'XSS\')</script>你好！", "tags": ["php", "security"], "settings": {"theme": "dark", "notify": true}}';
// 1. 解析JSON并进行基础错误检查
$data = json_decode($jsonString, true); // true表示解析为关联数组
if (json_last_error() !== JSON_ERROR_NONE) {
// 处理JSON解析错误，例如：记录日志、返回错误响应
error_log("JSON解析错误: " . json_last_error_msg());
// 抛出异常或返回错误信息
// die("无效的JSON数据");
$data = []; // 或者设置一个默认空数组
}
// 2. 针对解析后的数据进行逐项过滤和验证
$filteredData = [];
// 示例：过滤 name 字段
if (isset($data['name'])) {
$filteredData['name'] = filter_var($data['name'], FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_LOW | FILTER_FLAG_STRIP_HIGH);
// 或者更严格的正则过滤，例如只允许字母和空格
// $filteredData['name'] = preg_replace('/[^a-zA-Z\s]/', '', $data['name']);
} else {
$filteredData['name'] = null; // 或者设置默认值
}
// 示例：验证 email 字段
if (isset($data['email'])) {
$filteredData['email'] = filter_var($data['email'], FILTER_VALIDATE_EMAIL);
if ($filteredData['email'] === false) {
// 邮件格式不正确，可以记录错误或返回提示
error_log("无效的邮箱格式: " . $data['email']);
// $filteredData['email'] = null; // 或者设置为null
}
} else {
$filteredData['email'] = null;
}
// 示例：验证 age 字段为整数
if (isset($data['age'])) {
$filteredData['age'] = filter_var($data['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 0, 'max_range' => 120]]);
if ($filteredData['age'] === false) {
error_log("无效的年龄: " . $data['age']);
}
} else {
$filteredData['age'] = null;
}
// 示例：过滤 bio 字段，移除HTML标签
if (isset($data['bio'])) {
$filteredData['bio'] = strip_tags($data['bio']); // 简单粗暴移除所有HTML
// 或者允许部分安全标签
// $filteredData['bio'] = strip_tags($data['bio'], '<a><strong><em>');
} else {
$filteredData['bio'] = null;
}
// 示例：处理数组字段 tags
if (isset($data['tags']) && is_array($data['tags'])) {
$filteredData['tags'] = array_map(function($tag) {
return filter_var($tag, FILTER_SANITIZE_STRING);
}, $data['tags']);
} else {
$filteredData['tags'] = [];
}
// 3. 递归处理嵌套结构 (例如 'settings')
function recursiveSanitize(array $input): array {
$output = [];
foreach ($input as $key => $value) {
if (is_array($value)) {
$output[$key] = recursiveSanitize($value); // 递归处理子数组
} elseif (is_string($value)) {
$output[$key] = filter_var($value, FILTER_SANITIZE_STRING, FILTER_FLAG_STRIP_LOW | FILTER_FLAG_STRIP_HIGH);
// 也可以根据key名进行更精细的过滤，例如如果key是'html_content'则使用strip_tags
} elseif (is_bool($value)) {
$output[$key] = (bool)$value; // 确保是布尔值
} elseif (is_numeric($value)) {
$output[$key] = (is_int($value) ? (int)$value : (float)$value); // 确保是数字
} else {
$output[$key] = $value; // 默认保留其他类型
}
}
return $output;
}
if (isset($data['settings']) && is_array($data['settings'])) {
$filteredData['settings'] = recursiveSanitize($data['settings']);
} else {
$filteredData['settings'] = [];
}
// 最终得到的 $filteredData 就是一个相对安全且符合预期的数据结构
// var_dump($filteredData);
// 此时 $filteredData 就可以用于数据库存储、业务逻辑处理或安全输出到前端
// 例如，将其重新编码为JSON输出
// echo json_encode($filteredData, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT);
?>在我看来，JSON数据过滤和安全的重要性，远不止于防止简单的恶意攻击，它更是构建健壮、可靠应用程序的基石。试想一下，如果你的应用程序接收到一段格式混乱、包含恶意脚本或者超出预期范围的数据，会发生什么？轻则程序报错、用户体验受损，重则数据泄露、系统被入侵。
首先，防止恶意注入是首要任务。最常见的莫过于XSS（跨站脚本攻击）和SQL注入。如果JSON数据中包含<script>标签或恶意的SQL片段，而你又没有进行适当的过滤，直接将数据展示到前端页面或拼接到数据库查询中，那后果不堪设想。XSS可能导致用户会话被劫持，SQL注入则可能让攻击者完全控制你的数据库。
立即学习“PHP免费学习笔记（深入）”；
其次，维护数据完整性和业务逻辑的正确性同样关键。用户提交的年龄字段，你期望是个整数，结果他传了个字符串“二十岁”或者负数。如果你不校验，直接存入数据库，或者用它进行计算，那么你的业务逻辑就会混乱，甚至引发更严重的错误。此外，无效或超长的数据也可能导致数据库字段溢出，破坏数据结构。
最后，提升用户体验和系统稳定性。一个严格的数据过滤机制，能够确保只有“干净”的数据进入系统，从而减少因数据问题导致的程序崩溃或异常。当用户提交了不规范的数据时，系统能够给出明确的错误提示，而不是直接崩溃，这无疑会提升用户对产品的信任感。很多时候，我们容易忽略这些细节，直到出了问题才追悔莫及。
PHP提供了多种工具和方法来处理JSON数据的过滤和验证，它们各有侧重，可以组合使用以达到最佳效果。
1. json_decode() 与错误处理：
这是解析JSON字符串的第一步。使用json_decode($jsonString, true)将其解析为关联数组。关键在于，你必须检查json_last_error()和json_last_error_msg()来判断解析是否成功。如果JSON格式本身就是无效的，那么后续的过滤就无从谈起。PHP 7.3+引入了JSON_THROW_ON_ERROR标志，可以在解析失败时直接抛出JsonException，这让错误处理变得更加优雅和集中。
<?php
try {
$data = json_decode($jsonString, true, 512, JSON_THROW_ON_ERROR);
// JSON解析成功，继续处理 $data
} catch (JsonException $e) {
error_log("JSON解析失败: " . $e->getMessage());
// 处理解析错误，例如返回错误响应
die("无效的JSON格式");
}
?>2. filter_var() 和 filter_input() 系列函数：
这是PHP专门为数据过滤和验证设计的一套强大工具。它们提供了多种过滤器（FILTER_SANITIZE_*用于清洗，FILTER_VALIDATE_*用于验证），能够处理字符串、整数、浮点数、邮箱、URL等常见数据类型。
FILTER_SANITIZE_STRING: 移除或编码特殊字符，防止XSS。这是我个人最常用的一个，虽然它在PHP 8.1之后被废弃，推荐使用htmlspecialchars()等特定函数，但在旧版本中仍是快速清洗字符串的好选择。新的做法是根据上下文，比如用于HTML输出就用htmlspecialchars，用于数据库就用预处理语句。FILTER_VALIDATE_EMAIL: 验证邮箱格式。FILTER_VALIDATE_INT / FILTER_VALIDATE_FLOAT: 验证整数或浮点数，并可指定范围。FILTER_SANITIZE_NUMBER_INT: 移除除数字和正负号外的所有字符。对于从JSON解析出的数组，你可以遍历数组，对每个元素应用filter_var：
!["Find]("https://img.php.cn/upload/ai_manual/000/000/000/175680247950195.png")
Easily find JSON paths within JSON objects using our intuitive Json Path Finder
!["Find]("/static/images/card_xiazai.png")
30
!["Find]("/static/images/cardxiayige-3.png")
<?php
$username = $data['username'] ?? '';
$filteredUsername = filter_var($username, FILTER_SANITIZE_STRING); // 或者更推荐的：htmlspecialchars($username, ENT_QUOTES, 'UTF-8');
$age = $data['age'] ?? null;
$filteredAge = filter_var($age, FILTER_VALIDATE_INT, ['options' => ['min_range' => 0, 'max_range' => 150]]);
if ($filteredAge === false) {
// 年龄无效
}
?>filter_input_array()则适用于批量处理来自$_GET, $_POST等的数据，但对于已经json_decode后的数组，通常需要手动遍历或结合array_map。
3. strip_tags() 和 htmlspecialchars()：
这两个函数主要用于处理HTML内容。
strip_tags($string, $allowable_tags): 移除字符串中的HTML和PHP标签。你可以选择性地保留一些安全标签，比如<a>、<strong>。htmlspecialchars($string, $flags, $encoding): 将特殊HTML字符（如<、>、&、"、'）转换为HTML实体。这是防止XSS攻击的黄金法则，通常在数据输出到HTML页面之前使用。这两种方法各有侧重，strip_tags更侧重于内容清洗，而htmlspecialchars则侧重于输出编码，两者常常结合使用。
4. 正则表达式 (Regex)： 对于更复杂或自定义的验证规则，正则表达式是不可或缺的工具。例如，验证特定的手机号格式、自定义的用户名字段规则等。但使用正则表达式需要非常小心，编写不当的正则可能会引入新的安全漏洞（如ReDoS）或性能问题。
<?php
$phoneNumber = $data['phone'] ?? '';
if (!preg_match('/^1[3-9]\d{9}$/', $phoneNumber)) {
// 手机号格式不正确
}
?>5. 自定义验证函数和类：
当业务逻辑变得复杂时，你可能需要编写自己的验证函数或构建验证类。这可以让你将所有验证规则集中管理，提高代码的复用性和可维护性。例如，一个用户注册的JSON数据，可能需要同时验证用户名唯一性、密码强度等，这些就不是简单的filter_var能搞定的了。
处理嵌套JSON结构的数据过滤，是JSON数据安全解析中的一个难点，因为它不像扁平数据那样可以直接套用filter_var。我的经验是，递归是解决这个问题的最优雅也最有效的方式。
核心思路是：编写一个递归函数，它能够遍历JSON解析后的数组或对象。每当遇到一个值，就根据其类型和预期的字段名，应用相应的过滤或验证规则。如果遇到的是另一个数组或对象，就再次调用自身进行处理。
下面是一个我经常使用的递归过滤函数的简化示例：
<?php
/**
* 递归地过滤和验证嵌套的JSON数据。
*
* @param array $data 待处理的数据数组。
* @param array $schema 预期的数据结构和验证规则。
* 例如：['field_name' => 'string|required', 'age' => 'int|min:0|max:120', 'settings' => ['theme' => 'string']]
* @return array 过滤后的数据。
* @throws InvalidArgumentException 如果数据不符合预期。
*/
function recursiveFilterJson(array $data, array $schema = []): array {
$filteredData = [];
foreach ($schema as $key => $rules) {
// 检查字段是否存在
if (!isset($data[$key])) {
// 如果规则中包含 'required'，则抛出异常
if (is_string($rules) && strpos($rules, 'required') !== false) {
throw new InvalidArgumentException("字段 '{$key}' 是必需的。");
}
continue; // 如果不是必需的，则跳过
}
$value = $data[$key];
// 如果规则是数组，说明是嵌套结构，递归调用
if (is_array($rules) && is_array($value)) {
$filteredData[$key] = recursiveFilterJson($value, $rules);
continue;
}
// 处理字符串类型的规则
if (is_string($rules)) {
$ruleParts = explode('|', $rules);
foreach ($ruleParts as $rule) {
switch ($rule) {
case 'string':
// 默认对字符串进行安全过滤
if (!is_string($value)) {
throw new InvalidArgumentException("字段 '{$key}' 必须是字符串。");
}
// 推荐使用 htmlspecialchars 或根据上下文选择过滤
$filteredData[$key] = htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
break;
case 'int':
if (!is_numeric($value) || filter_var($value, FILTER_VALIDATE_INT) === false) {
throw new InvalidArgumentException("字段 '{$key}' 必须是整数。");
}
$filteredData[$key] = (int)$value;
break;
case 'email':
if (!is_string($value) || filter_var($value, FILTER_VALIDATE_EMAIL) === false) {
throw new InvalidArgumentException("字段 '{$key}' 必须是有效的邮箱格式。");
}
$filteredData[$key] = $value; // email通常不需要额外htmlspecialchars，但应在输出时处理
break;
// 可以添加更多规则，如 'url', 'bool', 'array_of_strings' 等
case 'bool':
if (!in_array($value, [true, false, 0, 1, '0', '1'], true)) {
throw new InvalidArgumentException("字段 '{$key}' 必须是布尔值。");
}
$filteredData[$key] = (bool)$value;
break;
// 处理范围验证，例如 'min:0', 'max:120'
case (preg_match('/^min:(\d+)$/', $rule, $matches) ? true : false):
$min = (int)$matches[1];
if (!isset($filteredData[$key]) || !is_numeric($filteredData[$key]) || $filteredData[$key] < $min) {
throw new InvalidArgumentException("字段 '{$key}' 必须大于等于 {$min}。");
}
break;
case (preg_match('/^max:(\d+)$/', $rule, $matches) ? true : false):
$max = (int)$matches[1];
if (!isset($filteredData[$key]) || !is_numeric($filteredData[$key]) || $filteredData[$key] > $max) {
throw new InvalidArgumentException("字段 '{$key}' 必须小于等于 {$max}。");
}
break;
// 'required' 已经在前面处理
case 'required':
// do nothing, already checked
break;
default:
// 未知规则，可以抛出异常或记录日志
error_log("未知过滤规则: {$rule} for key {$key}");
// 默认保留原始值（如果未被其他规则处理）
if (!isset($filteredData[$key])) {
$filteredData[$key] = $value;
}
break;
}
}
} else {
// 如果没有匹配的规则，或者规则类型不匹配，可以默认进行一些基础过滤
// 或者根据严格程度直接抛出异常
if (is_string($value)) {
$filteredData[$key] = htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
} else {
$filteredData[$key] = $value;
}
}
}
// 移除不在 schema 中的额外字段 (可选，取决于你的策略，是严格匹配还是宽松处理)
// $filteredData = array_intersect_key($filteredData, $schema);
return $filteredData;
}
// 示例用法
$jsonStringWithNested = '{"user": {"name": "Alice", "email": "alice@example.com", "age": "25", "extra_field": "should_be_removed"}, "address": {"city": "Beijing", "zip": "100000"}, "status": true, "comments": "<p>Hello</p>"}';
try {
$decodedData = json_decode($jsonStringWithNested, true, 512, JSON_THROW_ON_ERROR);
$validationSchema = [
'user' => [
'name' => 'string|required',
'email' => 'email|required',
'age' => 'int|min:18|max:100',
],
'address' => [
'city' => 'string',
'zip' => 'string',
],
'status' => 'bool',
'comments' => 'string',
// 'non_existent_field' => 'string|required' // 模拟一个必需但不存在的字段
];
$sanitizedData = recursiveFilterJson($decodedData, $validationSchema);
// var_dump($sanitizedData);
// echo json_encode($sanitizedData, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT);
} catch (JsonException $e) {
echo "JSON解析错误: " . $e->getMessage();
} catch (InvalidArgumentException $e) {
echo "数据验证错误: " . $e->getMessage();
}
?>这个recursiveFilterJson函数结合了schema定义和递归处理，能够应对相当复杂的嵌套结构。定义一个清晰的$schema是关键，它明确了每个字段的类型、是否必需以及具体的验证规则。这种方法让数据过滤变得有章可循，而不是盲目地对所有字符串都strip_tags，从而避免过度过滤或漏掉关键验证。
说实话，完美的过滤方案
以上就是PHP如何过滤JSON数据_PHPJSON数据安全解析教程的详细内容，更多请关注php中文网其它相关文章！
PHP怎么学习？PHP怎么入门？PHP在哪学？PHP怎么学才快？不用担心，这里为大家提供了PHP速学教程(入门到精通)，有需要的小伙伴保存下载就能学习啦！
广告Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
401
收藏
