PHP filter_var(): проверка email, int, URL и не только

filter_var($value, FILTER_VALIDATE_EMAIL) возвращает значение, когда это корректный адрес email, и false, когда нет. Поменяйте фильтр, чтобы проверять другие форматы: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Всегда сравнивайте результат через === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Два результата удивляют. ada@example отклоняется, потому что в домене нет точки, а ' ada@example.com' отклоняется из-за пробела в начале, поэтому обрезайте ввод через trim() перед проверкой.

Проверка email из формы

Та же проверка за формой. Запустите, введите адрес и нажмите Check; блок выполнится снова с вашим вводом в $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL проверяет только формат. nobody@example.com проходит, и адрес с опечаткой в домене тоже прошёл бы. Не-ASCII символы отклоняются: adä@example.com проходит только с FILTER_FLAG_EMAIL_UNICODE, который разрешает их до @, а домен вроде exämple.com не проходит даже с этим флагом, если сначала не преобразовать его в форму xn--. Единственный способ узнать, что адрес работает, это отправить на него ссылку для подтверждения.

Проверка целого числа с min_range и max_range

FILTER_VALIDATE_INT превращает корректную строку в int и отклоняет всё остальное. Массив опций добавляет диапазон и значение по умолчанию:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Пробелы вокруг и + в начале принимаются, ведущий ноль ('042') нет, а результат для '42' это целое 42, а не строка. Выход за диапазон даёт false; с опцией default вы получаете значение по умолчанию вместо false, что удобно для вещей вроде ?page= (смотрите $_GET и$_POST). Добавьте FILTER_FLAG_ALLOW_HEX или FILTER_FLAG_ALLOW_OCTAL, чтобы принимать 0x1A или 0755.

Ловушка 0 и false

Корректное '0' возвращает целое 0, а 0 ложно. Простой if считает это неудачей:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

То же касается FILTER_VALIDATE_FLOAT ('0.0') и FILTER_VALIDATE_BOOL, где false это допустимый ответ. Для этого и существует FILTER_NULL_ON_FAILURE.

Логические значения, float, URL и IP-адреса

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL это имя из PHP 8; FILTER_VALIDATE_BOOLEAN тот же фильтр. Без FILTER_NULL_ON_FAILURE 'maybe' вернуло бы false, неотличимое от 'off'.

Корректный URL ещё не безопасная ссылка

FILTER_VALIDATE_URL проверяет, что строка по форме похожа на URL, с любой схемой. Сюда входят и схемы, которые вы никогда не хотите видеть в href:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) проходит FILTER_VALIDATE_URL, и браузер выполняет его как JavaScript при нажатии на ссылку, потому что %0A завершает //comment. Проверяйте схему через parse_url(), прежде чем выводить URL пользователя на страницу. Можно также требовать отдельные части через FILTER_FLAG_PATH_REQUIRED и FILTER_FLAG_QUERY_REQUIRED.

Фильтры очистки

Фильтры очистки удаляют символы, а не отвечают "да" или "нет". Они полезны, чтобы нормализовать ввод, а не чтобы сделать его безопасным для вывода:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Посмотрите на первую строку: Order #12-345 (x2) превращается в 12-3452, число, которого никогда не было во вводе, а третья строка это адрес, который никто не вводил. Если очищаете, потом проверяйте результат. Для всего, что выводится в HTML, правильный инструмент это htmlspecialchars() при выводе (FILTER_SANITIZE_FULL_SPECIAL_CHARS делает то же экранирование). FILTER_SANITIZE_STRING устарел с PHP 8.1; чем его заменить, смотрите в htmlspecialchars.

Проверка всей формы через filter_var_array

filter_var_array() применяет по одному фильтру к каждому ключу и возвращает массив со всеми запрошенными ключами: отфильтрованное значение, false, если проверка не прошла, или null, если ключа не было.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role исчез: ключи, которых нет в списке, отбрасываются, и это не даёт посетителю добавить role=admin к форме и сохранить его. country равен null, потому что его не отправили. На веб-сервере filter_input_array(INPUT_POST, $rules) делает то же самое, читая прямо из запроса.