filter_var() w PHP: walidacja e-maila, liczb, URL i więcej

filter_var($value, FILTER_VALIDATE_EMAIL) zwraca wartość, gdy jest poprawnym adresem e-mail, i false, gdy nie jest. Zmień filtr, aby sprawdzać inne formaty: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Zawsze porównuj wynik z === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Dwa wyniki zaskakują. ada@example jest odrzucany, bo domena nie ma kropki, a ' ada@example.com' jest odrzucany przez spację na początku, więc przed walidacją przepuść dane przez trim().

Walidacja e-maila z formularza

To samo sprawdzenie w formularzu. Uruchom, wpisz adres i naciśnij Check; blok uruchomi się ponownie z twoimi danymi w $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL sprawdza tylko format. nobody@example.com przechodzi, tak samo jak adres z literówką w domenie. Znaki spoza ASCII są odrzucane: adä@example.com przechodzi tylko z FILTER_FLAG_EMAIL_UNICODE, które dopuszcza je przed @, a domena taka jak exämple.com nie przechodzi nawet z flagą, chyba że najpierw zamienisz ją na postać xn--. Jedyny sposób, by wiedzieć, że adres działa, to wysłać na niego link z potwierdzeniem.

Walidacja liczby całkowitej z min_range i max_range

FILTER_VALIDATE_INT zamienia poprawny string na int i odrzuca wszystko inne. Tablica opcji dodaje zakres i wartość domyślną:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Białe znaki wokół i początkowy + są akceptowane, początkowe zero ('042') nie, a wynik dla '42' to liczba całkowita 42, a nie string. Poza zakresem dostajesz false; z opcją default dostajesz wartość domyślną zamiast false, co przydaje się przy rzeczach takich jak ?page= (zobacz $_GET i$_POST). Dodaj FILTER_FLAG_ALLOW_HEX albo FILTER_FLAG_ALLOW_OCTAL, aby akceptować 0x1A lub 0755.

Pułapka 0 i false

Poprawne '0' zwraca liczbę całkowitą 0, a 0 jest traktowane jak fałsz. Zwykłe if uznaje to za porażkę:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

To samo dotyczy FILTER_VALIDATE_FLOAT ('0.0') i FILTER_VALIDATE_BOOL, gdzie false to poprawna odpowiedź. Do tego służy FILTER_NULL_ON_FAILURE.

Wartości logiczne, liczby zmiennoprzecinkowe, URL i adresy IP

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL to nazwa z PHP 8; FILTER_VALIDATE_BOOLEAN to ten sam filtr. Bez FILTER_NULL_ON_FAILURE 'maybe' zwróciłoby false, nie do odróżnienia od 'off'.

Poprawny URL to nie bezpieczny link

FILTER_VALIDATE_URL sprawdza, czy string ma kształt adresu URL, z dowolnym schematem. Obejmuje to schematy, których nigdy nie chcesz w href:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) przechodzi FILTER_VALIDATE_URL, a przeglądarka wykonuje go jako JavaScript po kliknięciu linku, bo %0A kończy //comment. Zanim wypiszesz na stronie URL od użytkownika, sprawdź schemat przez parse_url(). Możesz też wymagać części przez FILTER_FLAG_PATH_REQUIRED i FILTER_FLAG_QUERY_REQUIRED.

Filtry oczyszczające

Filtry oczyszczające usuwają znaki, zamiast odpowiadać tak lub nie. Przydają się do normalizowania danych, a nie do czynienia ich bezpiecznymi do wypisania:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Spójrz na pierwszą linię: Order #12-345 (x2) staje się 12-3452, liczbą, której nigdy nie było w danych, a trzecia linia to adres, którego nikt nie wpisał. Jeśli oczyszczasz, potem zwaliduj wynik. Do wszystkiego, co wypisujesz do HTML, właściwym narzędziem jest htmlspecialchars() w chwili wypisywania (FILTER_SANITIZE_FULL_SPECIAL_CHARS escapuje tak samo). FILTER_SANITIZE_STRING jest przestarzały od PHP 8.1; co stosować zamiast niego, opisuje strona htmlspecialchars.

Walidacja całego formularza przez filter_var_array

filter_var_array() stosuje jeden filtr na klucz i zwraca tablicę z każdym kluczem, o który prosiłeś: przefiltrowaną wartością, false, gdy walidacja się nie powiodła, albo null, gdy klucza brakowało.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role zniknęło: klucze, których nie wymieniłeś, są odrzucane, co nie pozwala odwiedzającemu dodać role=admin do formularza i zapisać tego. country to null, bo nie zostało wysłane. Na serwerze WWW filter_input_array(INPUT_POST, $rules) robi to samo, czytając prosto z żądania.