PHP filter_var(): kiểm tra email, số nguyên, URL và hơn nữa

filter_var($value, FILTER_VALIDATE_EMAIL) trả về giá trị khi đó là một địa chỉ email hợp lệ và false khi không phải. Đổi bộ lọc để kiểm tra các định dạng khác: FILTER_VALIDATE_INT, FILTER_VALIDATE_FLOAT, FILTER_VALIDATE_URL, FILTER_VALIDATE_BOOL, FILTER_VALIDATE_IP. Luôn so sánh kết quả với === false.

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

Có hai kết quả khiến nhiều người bất ngờ. ada@example bị từ chối vì tên miền không có dấu chấm, còn ' ada@example.com' bị từ chối vì có khoảng trắng ở đầu, nên hãy trim() đầu vào trước khi kiểm tra.

Kiểm tra email từ form

Vẫn phép kiểm tra đó, nhưng đặt sau một form. Chạy code, nhập một địa chỉ rồi nhấn Check; khối code sẽ chạy lại với dữ liệu bạn nhập trong $_POST.

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL chỉ kiểm tra định dạng. nobody@example.com vẫn qua, và một địa chỉ gõ sai tên miền cũng vậy. Ký tự ngoài ASCII bị từ chối: adä@example.com chỉ qua khi có FILTER_FLAG_EMAIL_UNICODE, flag cho phép các ký tự này ở trước @, còn tên miền như exämple.com vẫn bị từ chối dù có flag, trừ khi bạn chuyển nó sang dạng xn-- trước. Cách duy nhất để biết một địa chỉ dùng được là gửi đến đó một liên kết xác nhận.

Kiểm tra số nguyên với min_range và max_range

FILTER_VALIDATE_INT chuyển một chuỗi hợp lệ thành int và từ chối mọi thứ khác. Mảng tùy chọn cho phép thêm khoảng giá trị và giá trị mặc định:

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

Khoảng trắng ở hai đầu và dấu + ở đầu được chấp nhận, số 0 ở đầu ('042') thì không, và kết quả của '42' là số nguyên 42, không phải chuỗi. Ngoài khoảng cho phép sẽ trả về false; có tùy chọn default thì bạn nhận giá trị mặc định thay cho false, rất tiện cho những thứ như ?page= (xem $_GET và$_POST). Thêm FILTER_FLAG_ALLOW_HEX hoặc FILTER_FLAG_ALLOW_OCTAL để chấp nhận 0x1A hay 0755.

Cái bẫy 0 và false

Chuỗi '0' hợp lệ trả về số nguyên 0, mà 0 là falsy. Một câu if đơn giản sẽ coi đó là thất bại:

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

Điều này cũng đúng với FILTER_VALIDATE_FLOAT ('0.0') và FILTER_VALIDATE_BOOL, nơi false là một câu trả lời hợp lệ. FILTER_NULL_ON_FAILURE sinh ra chính là để giải quyết chuyện này.

Boolean, số thực, URL và địa chỉ IP

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL là tên trong PHP 8; FILTER_VALIDATE_BOOLEAN là cùng một bộ lọc. Nếu không có FILTER_NULL_ON_FAILURE, 'maybe' sẽ trả về false, không phân biệt được với 'off'.

URL hợp lệ chưa chắc là liên kết an toàn

FILTER_VALIDATE_URL kiểm tra chuỗi có hình dạng của một URL hay không, với scheme bất kỳ. Trong đó có cả những scheme bạn không bao giờ muốn thấy trong href:

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) vượt qua FILTER_VALIDATE_URL, và trình duyệt sẽ chạy nó như JavaScript khi người dùng bấm vào liên kết, vì %0A kết thúc phần //comment. Hãy kiểm tra scheme bằng parse_url() trước khi in URL của người dùng vào trang. Bạn cũng có thể bắt buộc một số phần bằng FILTER_FLAG_PATH_REQUIRED và FILTER_FLAG_QUERY_REQUIRED.

Bộ lọc sanitize

Bộ lọc sanitize xóa bớt ký tự thay vì trả lời có hay không. Chúng hữu ích để chuẩn hóa đầu vào, chứ không giúp in ra an toàn:

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

Hãy nhìn dòng đầu tiên: Order #12-345 (x2) trở thành 12-3452, một con số chưa từng có trong đầu vào, còn dòng thứ ba là một địa chỉ không ai gõ cả. Nếu bạn sanitize, hãy kiểm tra lại kết quả sau đó. Với mọi thứ bạn in vào HTML, htmlspecialchars() lúc xuất ra mới là công cụ đúng (FILTER_SANITIZE_FULL_SPECIAL_CHARS escape theo cùng cách). FILTER_SANITIZE_STRING đã bị deprecated từ PHP 8.1; xem htmlspecialchars để biết nên dùng gì thay thế.

Kiểm tra cả form với filter_var_array

filter_var_array() áp dụng một bộ lọc cho mỗi khóa và trả về một mảng chứa mọi khóa bạn yêu cầu: giá trị đã lọc, false khi kiểm tra thất bại, hoặc null khi thiếu khóa.

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role đã biến mất: các khóa bạn không liệt kê đều bị bỏ, điều này ngăn người truy cập thêm role=admin vào form rồi được lưu lại. country là null vì không được gửi lên. Trên máy chủ web, filter_input_array(INPUT_POST, $rules) làm điều tương tự nhưng đọc thẳng từ request.