PHP如何自定义过滤函数_PHP自定义安全过滤函数编写

class InputFilter
{
    /**
     * 清理普通字符串，去除两端空白，可选去除HTML标签
     *
     * @param string $input 待处理的字符串
     * @param bool $stripTags 是否去除HTML标签
     * @return string 清理后的字符串
     */
    public static function cleanString(string $input, bool $stripTags = true): string
    {
        $input = trim($input);
        if ($stripTags) {
            $input = strip_tags($input); // 移除HTML和PHP标签
        }
        // 进一步处理可能的特殊字符，例如控制字符
        $input = preg_replace('/[--]/', '', $input);
        return $input;
    }

    /**
     * 专门用于HTML输出的转义，防止XSS
     *
     * @param string $input 待转义的字符串
     * @return string 转义后的字符串
     */
    public static function escapeForHtml(string $input): string
    {
        return htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8');
    }

    /**
     * 专门用于URL参数的转义
     *
     * @param string $input 待转义的字符串
     * @return string 转义后的字符串
     */
    public static function escapeForUrl(string $input): string
    {
        return urlencode($input);
    }

    /**
     * 验证并净化整数
     *
     * @param mixed $input 待验证的输入
     * @param int|null $default 默认值，如果验证失败
     * @return int|null 整数或null
     */
    public static function parseInt($input, ?int $default = null): ?int
    {
        $filtered = filter_var($input, FILTER_VALIDATE_INT);
        return ($filtered === false) ? $default : $filtered;
    }

    /**
     * 验证并净化邮箱地址
     *
     * @param string $email 待验证的邮箱
     * @return string|null 邮箱地址或null
     */
    public static function validateEmail(string $email): ?string
    {
        $filtered = filter_var($email, FILTER_VALIDATE_EMAIL);
        return ($filtered === false) ? null : $filtered;
    }

    /**
     * 验证并净化URL
     *
     * @param string $url 待验证的URL
     * @return string|null URL或null
     */
    public static function validateUrl(string $url): ?string
    {
        $filtered = filter_var($url, FILTER_VALIDATE_URL);
        return ($filtered === false) ? null : $filtered;
    }

    /**
     * 允许特定HTML标签的净化（例如用于富文本编辑器）
     * 这通常需要更复杂的库，但这里可以提供一个简单的示例
     *
     * @param string $input 含有HTML的字符串
     * @param array $allowedTags 允许的标签数组，例如 ['<b>', '<i>', '<em>', '<strong>', '<p>', '<a>']
     * @return string 净化后的HTML
     */
    public static function allowHtml(string $input, array $allowedTags = []): string
    {
        // 实际生产中，强烈推荐使用HTML Purifier这样的专业库
        // 这里只是一个非常简化的示例，不适合生产环境直接使用
        if (empty($allowedTags)) {
            return self::escapeForHtml($input); // 如果没有允许的标签，就全部转义
        }
        // 移除所有不在白名单中的标签
        $input = strip_tags($input, implode('', $allowedTags));
        // 再次进行HTML实体转义，防止属性中的XSS
        // 这部分逻辑会非常复杂，需要考虑属性白名单、URL协议等
        // 简单处理：将所有可能被解释为HTML实体的字符转义
        return preg_replace_callback('/<(/?)([^>]*)>/', function($matches) use ($allowedTags) {
            $tag = strtolower($matches[2]);
            if (in_array("<{$tag}>", $allowedTags) || in_array("<{$matches[2]}>", $allowedTags)) {
                // 如果是允许的标签，我们还需要处理其属性，防止属性XSS
                // 这一步非常复杂，简单示例无法完全覆盖，再次强调使用专业库
                return $matches[0];
            }
            return ''; // 否则移除
        }, self::escapeForHtml($input)); // 先整体转义，再尝试保留允许的标签
    }

    /**
     * 针对数据库查询的输入处理（重要：优先使用预处理语句！）
     *
     * @param string $input 待处理的字符串
     * @param mysqli|PDO $dbConnection 数据库连接对象
     * @return string 处理后的字符串
     */
    public static function escapeForDatabase(string $input, $dbConnection): string
    {
        // 强烈建议：在绝大多数情况下，使用PDO或mysqli的预处理语句来防止SQL注入。
        // 只有在极少数无法使用预处理语句的场景（例如构建动态IN子句，且必须手动拼接）
        // 才考虑使用此方法，且要极其谨慎。
        if ($dbConnection instanceof mysqli) {
            return mysqli_real_escape_string($dbConnection, $input);
        } elseif ($dbConnection instanceof PDO) {
            // PDO本身没有直接的"escape"方法，通常通过参数绑定实现
            // 如果非要模拟，可能需要更复杂的设计，但这不是推荐做法
            // 这里我们只是为了演示一个概念，实际不推荐直接用PDO模拟此功能
            return str_replace(
                ['\', "", "
", "
", "'", '"', ""],
                ['\\', '\0', '\n', '\r', "\'", '\"', '\Z'],
                $input
            );
        }
        return $input; // 默认返回原值，表示不处理
    }
}

// 示例用法：
// $userInput = "<script>alert('XSS');</script>Hello & World!   ";
// echo InputFilter::cleanString($userInput) . "
"; // 输出: Hello & World!
// echo InputFilter::escapeForHtml($userInput) . "
"; // 输出: <script>alert(&#039;XSS&#039;);</script>Hello & World!
// echo InputFilter::parseInt("123abc") . "
"; // 输出: 123
// echo InputFilter::validateEmail("test@example.com") . "
"; // 输出: test@example.com
// echo InputFilter::validateEmail("invalid-email") . "
"; // 输出: (空)

// $richText = "<p>这是一个<b>富文本</b>，包含<script>alert('XSS')</script>内容。</p>";
// echo InputFilter::allowHtml($richText, ['<p>', '<b>']) . "
";
// 注意：allowHtml的简化版本在生产环境是不安全的，仅作演示。