PHP filter_var() : valider un email, un entier, une URL

filter_var($value, FILTER_VALIDATE_EMAIL) renvoie la valeur quand c'est une adresse email valide et false sinon. Changez le filtre pour vérifier d'autres formats : FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Comparez toujours le résultat avec === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Deux résultats surprennent. ada@example est refusée car le domaine n'a pas de point, et ' ada@example.com' est refusée à cause de l'espace initial, appliquez donc trim() à la saisie avant de la valider.

Valider un email venant d'un formulaire

La même vérification derrière un formulaire. Exécutez-le, tapez une adresse et cliquez sur Check ; le bloc s'exécute à nouveau avec votre saisie dans $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL ne vérifie que le format. nobody@example.com passe, tout comme une adresse avec une faute de frappe dans le domaine. Les caractères non ASCII sont refusés : adä@example.com ne passe qu'avec FILTER_FLAG_EMAIL_UNICODE, qui les autorise avant le @, et un domaine comme exämple.com échoue même avec ce drapeau, sauf si vous le convertissez d'abord sous sa forme xn--. Le seul moyen de savoir qu'une adresse fonctionne est de lui envoyer un lien de confirmation.

Valider un entier, avec min_range et max_range

FILTER_VALIDATE_INT transforme une chaîne valide en int et refuse tout le reste. Le tableau d'options ajoute une plage et une valeur par défaut :

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Les espaces autour et un + initial sont acceptés, un zéro initial ('042') ne l'est pas, et le résultat pour '42' est l'entier 42, pas la chaîne. Hors de la plage, vous obtenez false ; avec une option default, vous obtenez la valeur par défaut au lieu de false, ce qui est pratique pour des choses comme ?page= (voir $_GET et$_POST). Ajoutez FILTER_FLAG_ALLOW_HEX ou FILTER_FLAG_ALLOW_OCTAL pour accepter 0x1A ou 0755.

Le piège 0 et false

Un '0' valide renvoie l'entier 0, et 0 est évalué à faux. Un simple if le traite comme un échec :

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

C'est pareil pour FILTER_VALIDATE_FLOAT ('0.0') et FILTER_VALIDATE_BOOL, où false est une réponse valide. C'est à cela que sert FILTER_NULL_ON_FAILURE.

Booléens, floats, URL et adresses IP

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL est le nom de PHP 8 ; FILTER_VALIDATE_BOOLEAN est le même filtre. Sans FILTER_NULL_ON_FAILURE, 'maybe' renverrait false, impossible à distinguer de 'off'.

Une URL valide n'est pas un lien sûr

FILTER_VALIDATE_URL vérifie que la chaîne a la forme d'une URL, avec n'importe quel schéma. Cela inclut des schémas que vous ne voulez jamais dans un href :

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) passe FILTER_VALIDATE_URL, et un navigateur l'exécute comme du JavaScript quand on clique sur le lien, car %0A termine le //comment. Vérifiez le schéma avec parse_url() avant d'afficher l'URL d'un utilisateur dans une page. Vous pouvez aussi exiger certaines parties avec FILTER_FLAG_PATH_REQUIRED et FILTER_FLAG_QUERY_REQUIRED.

Les filtres de nettoyage

Les filtres de nettoyage (sanitize) suppriment des caractères au lieu de répondre oui ou non. Ils sont utiles pour normaliser une saisie, pas pour la rendre sûre à l'affichage :

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Regardez la première ligne : Order #12-345 (x2) devient 12-3452, un nombre qui n'a jamais figuré dans la saisie, et la troisième ligne est une adresse que personne n'a tapée. Si vous nettoyez, validez le résultat ensuite. Pour tout ce que vous affichez dans du HTML, htmlspecialchars() au moment de l'affichage est le bon outil (FILTER_SANITIZE_FULL_SPECIAL_CHARS fait le même échappement). FILTER_SANITIZE_STRING est déprécié depuis PHP 8.1 ; voir htmlspecialchars pour savoir quoi utiliser à la place.

Valider tout un formulaire avec filter_var_array

filter_var_array() applique un filtre par clé et renvoie un tableau avec chaque clé demandée : la valeur filtrée, false quand la validation a échoué, ou null quand la clé manquait.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role a disparu : les clés que vous n'avez pas listées sont abandonnées, ce qui empêche un visiteur d'ajouter role=admin à un formulaire et de le faire enregistrer. country vaut null car il n'a pas été envoyé. Sur un serveur web, filter_input_array(INPUT_POST, $rules) fait la même chose en lisant directement la requête.