PHP filter_var(): E-posta, Int, URL ve Daha Fazla Doğrulama

filter_var($value, FILTER_VALIDATE_EMAIL) değer geçerli bir e-posta adresi olduğunda değeri, olmadığında false döndürür. Diğer biçimleri kontrol etmek için filtreyi değiştirin: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Sonucu her zaman === false ile karşılaştırın.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

İki sonuç insanları şaşırtır. ada@example alan adında nokta olmadığı için, ' ada@example.com' ise baştaki boşluk nedeniyle reddedilir; bu yüzden girdiyi doğrulamadan önce trim() ile kırpın.

Bir formdan gelen e-postayı doğrulama

Aynı kontrol bir formun arkasında. Çalıştırın, bir adres yazın ve Check düğmesine basın; blok girdiniz $_POST içinde olacak şekilde yeniden çalışır.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL yalnızca biçimi kontrol eder. nobody@example.com geçer, alan adında yazım hatası olan bir adres de geçerdi. ASCII olmayan karakterler reddedilir: adä@example.com yalnızca @ öncesinde onlara izin veren FILTER_FLAG_EMAIL_UNICODE ile geçer ve exämple.com gibi bir alan adı, onu önce xn-- biçimine çevirmediğiniz sürece bayrakla bile başarısız olur. Bir adresin çalıştığını bilmenin tek yolu ona bir onay bağlantısı göndermektir.

min_range ve max_range ile bir tam sayıyı doğrulama

FILTER_VALIDATE_INT geçerli bir dizgeyi bir int değerine çevirir ve diğer her şeyi reddeder. Seçenekler dizisi bir aralık ve bir varsayılan ekler:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Etraftaki boşluklar ve baştaki bir + kabul edilir, baştaki bir sıfır ('042') kabul edilmez ve '42' için sonuç dizge değil 42 tam sayısıdır. Aralık dışı false verir; bir default seçeneğiyle false yerine varsayılanı alırsınız, bu da ?page= gibi şeyler için kullanışlıdır (bkz. $_GET ve$_POST). 0x1A veya 0755 kabul etmek için FILTER_FLAG_ALLOW_HEX veya FILTER_FLAG_ALLOW_OCTAL ekleyin.

0 ve false tuzağı

Geçerli bir '0' 0 tam sayısını döndürür ve 0 falsy'dir. Düz bir if onu başarısızlık olarak ele alır:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

Aynısı FILTER_VALIDATE_FLOAT ('0.0') ve false değerinin geçerli bir yanıt olduğu FILTER_VALIDATE_BOOL için de geçerlidir. FILTER_NULL_ON_FAILURE bunun içindir.

Boolean değerler, ondalıklı sayılar, URL'ler ve IP adresleri

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL PHP 8'deki addır; FILTER_VALIDATE_BOOLEAN aynı filtredir. FILTER_NULL_ON_FAILURE olmadan 'maybe' 'off' değerinden ayırt edilemeyen false döndürürdü.

Geçerli bir URL güvenli bir bağlantı değildir

FILTER_VALIDATE_URL dizgenin herhangi bir şemayla bir URL biçiminde olduğunu kontrol eder. Buna bir href içinde asla istemediğiniz şemalar da dahildir:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) FILTER_VALIDATE_URL kontrolünden geçer ve bağlantıya tıklandığında bir tarayıcı onu JavaScript olarak çalıştırır, çünkü %0A //comment kısmını bitirir. Bir kullanıcının URL'sini bir sayfaya yazdırmadan önce şemayı parse_url() ile kontrol edin. FILTER_FLAG_PATH_REQUIRED ve FILTER_FLAG_QUERY_REQUIRED ile parçaları zorunlu da tutabilirsiniz.

Temizleme filtreleri

Temizleme (sanitize) filtreleri evet veya hayır demek yerine karakterleri siler. Girdiyi normalleştirmek için kullanışlıdırlar, onu yazdırmak için güvenli hale getirmek için değil:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

İlk satıra bakın: Order #12-345 (x2) girdide hiç olmayan bir sayı olan 12-3452 olur ve üçüncü satır kimsenin yazmadığı bir adrestir. Temizlerseniz sonucu ardından doğrulayın. HTML'e yazdırdığınız her şey için çıktı anında htmlspecialchars() doğru araçtır (FILTER_SANITIZE_FULL_SPECIAL_CHARS aynı kaçışlamayı yapar). FILTER_SANITIZE_STRING PHP 8.1'den beri kullanımdan kaldırıldı; bunun yerine ne kullanılacağı için htmlspecialchars sayfasına bakın.

filter_var_array ile bütün bir formu doğrulama

filter_var_array() anahtar başına bir filtre uygular ve istediğiniz her anahtarla bir dizi döndürür: filtrelenmiş değer, doğrulama başarısız olduğunda false ya da anahtar eksik olduğunda null.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role gitti: listelemediğiniz anahtarlar atılır, bu da bir ziyaretçinin bir forma role=admin ekleyip onu kaydettirmesini önler. country gönderilmediği için null olur. Bir web sunucusunda filter_input_array(INPUT_POST, $rules) doğrudan istekten okuyarak aynısını yapar.