PHP filter_var(): E-Mail, Int, URL und mehr validieren

filter_var($value, FILTER_VALIDATE_EMAIL) liefert den Wert, wenn er eine gültige E-Mail-Adresse ist, und false, wenn nicht. Tausch den Filter aus, um andere Formate zu prüfen: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Vergleiche das Ergebnis immer mit === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Zwei Ergebnisse überraschen. ada@example wird abgelehnt, weil die Domain keinen Punkt hat, und ' ada@example.com' wegen des führenden Leerzeichens, also wendest du trim() auf die Eingabe an, bevor du validierst.

Eine E-Mail aus einem Formular validieren

Dieselbe Prüfung hinter einem Formular. Führe es aus, tippe eine Adresse ein und klicke auf Check; der Block läuft erneut mit deiner Eingabe in $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL prüft nur das Format. nobody@example.com besteht, und eine Adresse mit Tippfehler in der Domain würde es auch. Nicht-ASCII-Zeichen werden abgelehnt: adä@example.com besteht nur mit FILTER_FLAG_EMAIL_UNICODE, das sie vor dem @ erlaubt, und eine Domain wie exämple.com scheitert selbst mit dem Flag, außer du wandelst sie zuerst in ihre xn---Form um. Der einzige Weg zu wissen, dass eine Adresse funktioniert, ist, ihr einen Bestätigungslink zu schicken.

Eine Ganzzahl validieren, mit min_range und max_range

FILTER_VALIDATE_INT macht aus einem gültigen String einen int und lehnt alles andere ab. Das Options-Array fügt einen Bereich und einen Standardwert hinzu:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Leerraum drumherum und ein führendes + werden akzeptiert, eine führende Null ('042') nicht, und das Ergebnis für '42' ist die Ganzzahl 42, nicht der String. Außerhalb des Bereichs ergibt false; mit einer Option default bekommst du statt false den Standardwert, praktisch für Dinge wie ?page= (siehe $_GET und$_POST). Füge FILTER_FLAG_ALLOW_HEX oder FILTER_FLAG_ALLOW_OCTAL hinzu, um 0x1A oder 0755 zu akzeptieren.

Die Falle 0 und false

Ein gültiges '0' liefert die Ganzzahl 0, und 0 ist falsy. Ein einfaches if behandelt das als Fehlschlag:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

Dasselbe gilt für FILTER_VALIDATE_FLOAT ('0.0') und FILTER_VALIDATE_BOOL, wo false eine gültige Antwort ist. Dafür gibt es FILTER_NULL_ON_FAILURE.

Booleans, Floats, URLs und IP-Adressen

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL ist der Name aus PHP 8; FILTER_VALIDATE_BOOLEAN ist derselbe Filter. Ohne FILTER_NULL_ON_FAILURE würde 'maybe' false liefern, nicht unterscheidbar von 'off'.

Eine gültige URL ist kein sicherer Link

FILTER_VALIDATE_URL prüft, ob der String wie eine URL aufgebaut ist, mit einem beliebigen Schema. Dazu gehören Schemata, die du nie in einem href haben willst:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) besteht FILTER_VALIDATE_URL, und ein Browser führt es beim Klicken auf den Link als JavaScript aus, weil %0A den //comment beendet. Prüfe das Schema mit parse_url(), bevor du die URL eines Nutzers in eine Seite ausgibst. Mit FILTER_FLAG_PATH_REQUIRED und FILTER_FLAG_QUERY_REQUIRED kannst du außerdem Teile verlangen.

Sanitize-Filter

Sanitize-Filter entfernen Zeichen, statt Ja oder Nein zu sagen. Sie sind nützlich, um Eingaben zu normalisieren, nicht, um sie sicher ausgeben zu können:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Schau dir die erste Zeile an: Order #12-345 (x2) wird zu 12-3452, einer Zahl, die nie in der Eingabe stand, und die dritte Zeile ist eine Adresse, die niemand getippt hat. Wenn du bereinigst, validierst du das Ergebnis danach. Für alles, was du in HTML ausgibst, ist htmlspecialchars() bei der Ausgabe das richtige Werkzeug (FILTER_SANITIZE_FULL_SPECIAL_CHARS macht dasselbe Escaping). FILTER_SANITIZE_STRING ist seit PHP 8.1 veraltet; was du stattdessen verwendest, steht unter htmlspecialchars.

Ein ganzes Formular mit filter_var_array validieren

filter_var_array() wendet einen Filter pro Schlüssel an und liefert ein Array mit jedem Schlüssel, nach dem du gefragt hast: den gefilterten Wert, false, wenn die Validierung gescheitert ist, oder null, wenn der Schlüssel fehlte.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role ist weg: Schlüssel, die du nicht aufgeführt hast, werden verworfen, und das verhindert, dass ein Besucher role=admin zu einem Formular hinzufügt und es gespeichert wird. country ist null, weil es nicht gesendet wurde. Auf einem Webserver macht filter_input_array(INPUT_POST, $rules) dasselbe und liest direkt aus der Anfrage.