PHP filter_var(): validar email, int, URL y más

filter_var($value, FILTER_VALIDATE_EMAIL) devuelve el valor cuando es una dirección de email válida y false cuando no lo es. Cambia el filtro para comprobar otros formatos: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Compara siempre el resultado con === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Dos resultados sorprenden. ada@example se rechaza porque el dominio no tiene punto, y ' ada@example.com' se rechaza por el espacio inicial, así que aplica trim() a la entrada antes de validarla.

Validar un email de un formulario

La misma comprobación detrás de un formulario. Ejecútalo, escribe una dirección y pulsa Check; el bloque se ejecuta otra vez con tu entrada en $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL solo comprueba el formato. nobody@example.com pasa, y también pasaría una dirección con una errata en el dominio. Los caracteres no ASCII se rechazan: adä@example.com solo pasa con FILTER_FLAG_EMAIL_UNICODE, que los permite antes de la @, y un dominio como exämple.com falla incluso con la flag salvo que antes lo conviertas a su forma xn--. La única forma de saber si una dirección funciona es enviarle un enlace de confirmación.

Validar un entero con min_range y max_range

FILTER_VALIDATE_INT convierte una cadena válida en un int y rechaza todo lo demás. El array de opciones añade un rango y un valor por defecto:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Se aceptan los espacios alrededor y un + inicial, un cero inicial ('042') no, y el resultado para '42' es el entero 42, no la cadena. Fuera de rango da false; con una opción default obtienes el valor por defecto en lugar de false, algo práctico para cosas como ?page= (consulta $_GET y$_POST). Añade FILTER_FLAG_ALLOW_HEX o FILTER_FLAG_ALLOW_OCTAL para aceptar 0x1A o 0755.

La trampa de 0 y false

Un '0' válido devuelve el entero 0, y 0 es falsy. Un if simple lo trata como un fallo:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

Lo mismo se aplica a FILTER_VALIDATE_FLOAT ('0.0') y a FILTER_VALIDATE_BOOL, donde false es una respuesta válida. Para eso existe FILTER_NULL_ON_FAILURE.

Booleanos, floats, URLs y direcciones IP

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL es el nombre de PHP 8; FILTER_VALIDATE_BOOLEAN es el mismo filtro. Sin FILTER_NULL_ON_FAILURE, 'maybe' devolvería false, imposible de distinguir de 'off'.

Una URL válida no es un enlace seguro

FILTER_VALIDATE_URL comprueba que la cadena tenga forma de URL, con cualquier esquema. Eso incluye esquemas que nunca querrías en un href:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) pasa FILTER_VALIDATE_URL, y un navegador lo ejecuta como JavaScript cuando se hace clic en el enlace, porque %0A termina el //comment. Comprueba el esquema con parse_url() antes de imprimir la URL de un usuario en una página. También puedes exigir partes con FILTER_FLAG_PATH_REQUIRED y FILTER_FLAG_QUERY_REQUIRED.

Filtros de saneamiento

Los filtros de saneamiento eliminan caracteres en lugar de responder sí o no. Son útiles para normalizar la entrada, no para que sea segura al imprimirla:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Mira la primera línea: Order #12-345 (x2) se convierte en 12-3452, un número que nunca estuvo en la entrada, y la tercera línea es una dirección que nadie escribió. Si saneas, valida después el resultado. Para todo lo que imprimes en HTML, la herramienta adecuada es htmlspecialchars() en el momento de la salida (FILTER_SANITIZE_FULL_SPECIAL_CHARS hace el mismo escapado). FILTER_SANITIZE_STRING está obsoleto desde PHP 8.1; consulta htmlspecialchars para saber qué usar en su lugar.

Validar un formulario entero con filter_var_array

filter_var_array() aplica un filtro por clave y devuelve un array con todas las claves que pediste: el valor filtrado, false cuando falló la validación, o null cuando faltaba la clave.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role ha desaparecido: las claves que no listaste se descartan, lo que impide que un visitante añada role=admin a un formulario y que se guarde. country es null porque no se envió. En un servidor web, filter_input_array(INPUT_POST, $rules) hace lo mismo leyendo directamente de la petición.