一、使用filter_var函数可验证URL格式合法性，返回false则无效；二、正则表达式可自定义规则校验协议与域名；三、realpath结合路径前缀检查可防止目录遍历；四、parse_url解析后分项校验协议、主机等确保安全。
如果您尝试验证用户输入的PHP地址（如URL或文件路径）是否合法，但未进行正确校验，可能导致安全漏洞或程序异常。以下是几种常见的PHP地址校验方法及其代码实现：
一、使用filter_var函数校验URL
该方法利用PHP内置的filter_var函数，结合FILTER_VALIDATE_URL过滤器，判断输入的字符串是否符合标准URL格式。
1、调用filter_var函数，并传入待校验的地址和过滤器类型FILTER_VALIDATE_URL。
2、检查返回值：若返回false表示地址无效，否则返回原始地址字符串。
立即学习“PHP免费学习笔记（深入）”；
示例代码：
$url = "https://www.example.com";
if (filter_var($url, FILTER_VALIDATE_URL)) {
echo "有效URL";
} else {
echo "无效URL";
}
二、使用正则表达式校验自定义规则
当需要更灵活的控制，例如限制协议类型或域名后缀时，可使用正则表达式进行深度匹配。
1、定义一个正则模式，用于匹配以http或https开头的标准URL。
2、使用preg_match函数对目标地址执行匹配操作。
3、根据返回值判断是否符合规则，1为匹配成功，0为失败。
示例代码：
$pattern = '/^https?:\/\/([a-z0-9][-a-z0-9]*\.)+[a-z]{2,}(\/.*)?$/i';
$address = "https://sub.domain.com/path";
if (preg_match($pattern, $address)) {
echo "地址格式正确";
} else {
echo "地址格式错误";
}
三、校验本地文件路径安全性
在处理文件包含或读取操作时，必须确保路径不超出预期目录范围，防止目录遍历攻击。
1、使用realpath函数将输入路径转换为标准化的绝对路径。
2、设定允许访问的根目录路径，例如/var/www/html。
3、检查标准化后的路径是否以根目录开头，如果不是则拒绝访问。
示例代码：
$root = "/var/www/html";
$input_path = "../config.php";
$full_path = realpath($input_path);
if (strpos($full_path, $root) === 0) {
echo "路径安全，允许访问";
} else {
echo "路径非法，存在安全隐患";
}
四、结合parse_url函数进行结构化分析
通过parse_url函数可以分解URL的各个组成部分，进而分别校验协议、主机名、端口等字段的有效性。
1、调用parse_url函数解析输入地址，获取scheme、host等键值。
2、检查scheme是否为允许的类型，如http或https。
3、验证host部分是否存在且符合域名或IP地址规范。
4、可选地检查port是否在允许范围内，避免非常规端口带来的风险。
示例代码：
$url = "https://example.com:8080";
$parsed = parse_url($url);
if (!in_array($parsed['scheme'], ['http', 'https'])) {
echo "协议不被允许";
} elseif (empty($parsed['host'])) {
echo "缺少主机名";
} else {
echo "URL结构有效";
}
