PHP filter_var(): Validasi Email, Int, URL, dan Lainnya

filter_var($value, FILTER_VALIDATE_EMAIL) mengembalikan nilainya saat nilai itu alamat email yang valid dan false saat tidak. Ganti filternya untuk memeriksa format lain: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Selalu bandingkan hasilnya dengan === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Dua hasilnya sering mengejutkan. ada@example ditolak karena domainnya tidak punya titik, dan ' ada@example.com' ditolak karena ada spasi di depannya, jadi lakukan trim() pada input sebelum memvalidasinya.

Memvalidasi email dari formulir

Pengecekan yang sama di balik sebuah formulir. Jalankan, ketik sebuah alamat, lalu tekan Check; blok ini berjalan lagi dengan input-mu di $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL hanya memeriksa format. nobody@example.com lolos, begitu juga alamat dengan salah ketik di domainnya. Karakter non-ASCII ditolak: adä@example.com hanya lolos dengan FILTER_FLAG_EMAIL_UNICODE, yang mengizinkannya sebelum @, dan domain seperti exämple.com tetap gagal bahkan dengan flag itu kecuali kamu mengubahnya dulu ke bentuk xn--. Satu-satunya cara untuk tahu sebuah alamat berfungsi adalah mengirim link konfirmasi ke alamat itu.

Memvalidasi integer, dengan min_range dan max_range

FILTER_VALIDATE_INT mengubah string yang valid menjadi int dan menolak semua yang lain. Array opsi menambahkan rentang dan nilai bawaan:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Spasi di sekitarnya dan tanda + di depan diterima, nol di depan ('042') tidak, dan hasil untuk '42' adalah integer 42, bukan string. Di luar rentang menghasilkan false; dengan opsi default, kamu mendapat nilai bawaan alih-alih false, yang praktis untuk hal seperti ?page= (lihat $_GET dan$_POST). Tambahkan FILTER_FLAG_ALLOW_HEX atau FILTER_FLAG_ALLOW_OCTAL untuk menerima 0x1A atau 0755.

Jebakan 0 dan false

'0' yang valid mengembalikan integer 0, dan 0 bernilai falsy. if biasa menganggapnya sebagai kegagalan:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

Hal yang sama berlaku untuk FILTER_VALIDATE_FLOAT ('0.0') dan FILTER_VALIDATE_BOOL, yang menganggap false sebagai jawaban yang sah. Untuk itulah FILTER_NULL_ON_FAILURE ada.

Boolean, float, URL, dan alamat IP

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL adalah nama di PHP 8; FILTER_VALIDATE_BOOLEAN adalah filter yang sama. Tanpa FILTER_NULL_ON_FAILURE, 'maybe' akan mengembalikan false, yang tidak bisa dibedakan dari 'off'.

URL yang valid belum tentu link yang aman

FILTER_VALIDATE_URL memeriksa bahwa string-nya berbentuk URL, dengan scheme apa pun. Termasuk scheme yang tidak pernah kamu inginkan di href:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) lolos FILTER_VALIDATE_URL, dan browser menjalankannya sebagai JavaScript saat link-nya diklik, karena %0A mengakhiri //comment. Periksa scheme-nya dengan parse_url() sebelum kamu mencetak URL dari pengguna ke dalam halaman. Kamu juga bisa mewajibkan bagian tertentu dengan FILTER_FLAG_PATH_REQUIRED dan FILTER_FLAG_QUERY_REQUIRED.

Filter sanitize

Filter sanitize membuang karakter alih-alih menjawab ya atau tidak. Filter ini berguna untuk merapikan input, bukan untuk membuatnya aman dicetak:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Lihat baris pertama: Order #12-345 (x2) menjadi 12-3452, angka yang tidak pernah ada di input-nya, dan baris ketiga adalah alamat yang tidak diketik siapa pun. Kalau kamu melakukan sanitize, validasi hasilnya sesudahnya. Untuk apa pun yang kamu cetak ke HTML, htmlspecialchars() saat output adalah alat yang tepat (FILTER_SANITIZE_FULL_SPECIAL_CHARS melakukan escape yang sama). FILTER_SANITIZE_STRING sudah deprecated sejak PHP 8.1; lihat htmlspecialchars untuk penggantinya.

Memvalidasi seluruh formulir dengan filter_var_array

filter_var_array() menerapkan satu filter per key dan mengembalikan array berisi setiap key yang kamu minta: nilai yang sudah difilter, false kalau validasinya gagal, atau null kalau key-nya tidak ada.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role hilang: key yang tidak kamu sebutkan dibuang, sehingga pengunjung tidak bisa menambahkan role=admin ke formulir lalu menyimpannya. country bernilai null karena tidak dikirim. Di web server, filter_input_array(INPUT_POST, $rules) melakukan hal yang sama dengan membaca langsung dari request.