PHP表单验证常用五种方法：一、filter_var()内置过滤；二、preg_match()正则匹配；三、自定义函数封装；四、PDO预处理结合验证；五、JavaScript客户端辅助验证。
如果在PHP中处理用户提交的表单数据，但未对输入内容进行有效校验，则可能导致非法数据入库、安全漏洞或程序异常。以下是PHP中实现表单验证的常用方法：
一、使用内置过滤函数filter_var()
该方法利用PHP原生提供的filter_var()函数对变量进行标准化和安全性检查，适用于邮箱、URL、整数等常见类型验证，无需额外扩展且执行效率高。
1、定义待验证的表单字段，例如$_POST['email']；
2、调用filter_var()并指定FILTER_VALIDATE_EMAIL过滤器：filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)；
立即学习“PHP免费学习笔记（深入）”；
3、判断返回值是否为false，若为false则表示验证失败；
4、对数值型字段可使用FILTER_VALIDATE_INT，并通过options参数限定范围，如array("options" => array("min_range" => 1, "max_range" => 100))。
二、正则表达式preg_match()验证
正则表达式提供高度灵活的模式匹配能力，适合验证密码强度、手机号格式、中文姓名等无法被内置过滤器覆盖的复杂规则。
1、编写符合业务需求的正则模式，例如验证11位中国大陆手机号：/^1[3-9]\d{9}$/；
2、将表单值与正则模式传入preg_match()函数；
3、检查返回值是否大于0，大于0表示匹配成功；
4、对密码强度可组合多个条件，如同时包含大小写字母、数字及特殊字符，需分别用多个preg_match()组合判断。
三、自定义验证函数封装
将重复使用的验证逻辑抽象为独立函数，提升代码复用性与可维护性，便于统一修改规则或添加日志记录。
1、定义函数名如validate_mobile($value)，函数体内调用preg_match()执行校验；
2、函数返回布尔值，true表示通过，false表示失败；
3、在接收表单数据后逐字段调用对应函数，例如：if (!validate_mobile($_POST['phone'])) { ... }；
4、可在函数内部加入trim()和htmlspecialchars()预处理，防止前后空格干扰及XSS风险。
四、使用PHP Data Objects（PDO）预处理语句结合验证
在数据库写入前结合验证逻辑，确保仅合法数据进入绑定参数流程，避免SQL注入的同时完成业务级校验。
1、先对$_POST数据执行基础过滤与长度检查，例如strlen($_POST['username'])
2、构造PDO预处理语句，占位符使用:name形式；
3、仅当所有字段验证通过后，才执行$stmt->execute(array(':name' => $_POST['username']))；
4、验证失败时直接终止执行并返回错误提示，不进入execute()环节。
五、客户端JavaScript验证辅助
虽不能替代服务端验证，但可提升用户体验，减少无效请求，应在PHP验证前作为第一道轻量级检查。
1、在表单submit事件中阻止默认提交行为；
2、获取input元素值，使用RegExp.test()或内置方法如email.checkValidity()；
3、任一字段不满足要求时，用alert或DOM操作显示错误信息并return false；
4、全部通过后才允许form.submit()触发PHP后端处理。
