PHP filter_var()：验证邮箱、整数、URL 等

当值是有效的邮箱地址时，filter_var($value, FILTER_VALIDATE_EMAIL) 返回该值，否则返回 false。换一个过滤器就能检查其他格式：FILTER_VALIDATE_INT、FILTER_VALIDATE_FLOAT、FILTER_VALIDATE_URL、FILTER_VALIDATE_BOOL、FILTER_VALIDATE_IP。结果始终要用 === false 比较。

<?php
$emails = ['ada@example.com', 'ada.lovelace+news@example.co.uk', 'ada@', 'ada@example', 'ada..x@example.com', ' ada@example.com'];

foreach ($emails as $email) {
    $ok = filter_var($email, FILTER_VALIDATE_EMAIL) !== false;
    printf("%-34s %s\n", "'$email'", $ok ? 'valid' : 'invalid');
}

有两个结果常让人意外。ada@example 被拒绝，是因为域名里没有点；' ada@example.com' 被拒绝，是因为开头有空格，所以验证之前要先用 trim() 处理输入。

验证表单中的邮箱

把同样的检查放到表单后面。运行它，输入一个地址并点击 Check；这段代码会带着你在 $_POST 中的输入再运行一次。

<?php
$email = trim((string) ($_POST['email'] ?? ''));
$result = '';

if ($email !== '') {
    $result = filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        ? '<b style="color:#2e7d32">valid</b>'
        : '<b style="color:#c62828">invalid</b>';
}
?>
<form method="post">
  <input name="email" size="30" value="<?= htmlspecialchars($email) ?>" placeholder="you@example.com">
  <button>Check</button>
</form>
<?php if ($result): ?><p><?= htmlspecialchars($email) ?> is <?= $result ?></p><?php endif; ?>

FILTER_VALIDATE_EMAIL 只检查格式。nobody@example.com 能通过，域名里有拼写错误的地址也能通过。非 ASCII 字符会被拒绝：adä@example.com 只有加上 FILTER_FLAG_EMAIL_UNICODE 才能通过，这个标志允许 @ 前面出现这类字符；而 exämple.com 这样的域名即使加了标志也会失败，除非你先把它转换成 xn-- 形式。要知道一个地址能不能用，唯一的办法是给它发送确认链接。

验证整数，以及 min_range 和 max_range

FILTER_VALIDATE_INT 把有效的字符串转换成 int，拒绝其他所有值。选项数组可以加上范围和默认值：

<?php
$inputs = ['42', '-7', ' 42 ', '+42', '4.2', '042', '42abc', '', '0'];

foreach ($inputs as $in) {
    echo str_pad("'$in'", 8), ' => ';
    var_dump(filter_var($in, FILTER_VALIDATE_INT));
}

$age = filter_var('150', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 120],
]);
var_dump($age);

$page = filter_var('abc', FILTER_VALIDATE_INT, ['options' => ['default' => 1]]);
var_dump($page);

首尾的空白和开头的 + 是允许的，开头的零（'042'）则不允许；'42' 的结果是整数 42，而不是字符串。超出范围得到 false；设置了 default 选项时，你会得到默认值而不是 false，这对 ?page= 这类参数很方便（见 $_GET 和$_POST）。加上 FILTER_FLAG_ALLOW_HEX 或 FILTER_FLAG_ALLOW_OCTAL 就能接受 0x1A 或 0755。

0 与 false 的陷阱

有效的 '0' 返回整数 0，而 0 是假值。普通的 if 会把它当成失败：

<?php
$quantity = '0';

if (filter_var($quantity, FILTER_VALIDATE_INT)) {
    echo "if (...): valid\n";
} else {
    echo "if (...): rejected, wrongly\n";
}

if (filter_var($quantity, FILTER_VALIDATE_INT) !== false) {
    echo "!== false: valid\n";
}

// Or get null instead of false on failure, and check for null
$n = filter_var('abc', FILTER_VALIDATE_INT, FILTER_NULL_ON_FAILURE);
var_dump($n);

FILTER_VALIDATE_FLOAT（'0.0'）和 FILTER_VALIDATE_BOOL 也一样，对后者来说 false 本身就是有效的答案。FILTER_NULL_ON_FAILURE 正是为此而设的。

布尔值、浮点数、URL 和 IP 地址

<?php
// Booleans: "1", "true", "on", "yes" are true; "0", "false", "off", "no", "" are false
foreach (['yes', 'off', 'TRUE', 'maybe'] as $v) {
    echo str_pad($v, 6), ' => ', var_export(filter_var($v, FILTER_VALIDATE_BOOL, FILTER_NULL_ON_FAILURE), true), "\n";
}

// Floats: the decimal separator is "." unless you say otherwise
var_dump(filter_var('3.14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT));
var_dump(filter_var('3,14', FILTER_VALIDATE_FLOAT, ['options' => ['decimal' => ',']]));
var_dump(filter_var('1,000.5', FILTER_VALIDATE_FLOAT, FILTER_FLAG_ALLOW_THOUSAND));

// URLs need a scheme
var_dump(filter_var('https://coddy.tech/docs?x=1', FILTER_VALIDATE_URL));
var_dump(filter_var('coddy.tech', FILTER_VALIDATE_URL));

// IP addresses, optionally excluding private ranges
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP));
var_dump(filter_var('192.168.1.10', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE));

FILTER_VALIDATE_BOOL 是 PHP 8 中的名称；FILTER_VALIDATE_BOOLEAN 是同一个过滤器。不加 FILTER_NULL_ON_FAILURE 的话，'maybe' 会返回 false，与 'off' 无法区分。

有效的 URL 不等于安全的链接

FILTER_VALIDATE_URL 只检查字符串的形式是否像 URL，任何协议都可以。这其中包括你绝不希望出现在 href 中的协议：

<?php
function isSafeLink(string $url): bool
{
    if (filter_var($url, FILTER_VALIDATE_URL) === false) {
        return false;
    }
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    return in_array($scheme, ['http', 'https'], true);
}

foreach (['https://example.com', 'javascript://comment%0Aalert(1)', 'ftp://files.example.com', 'example.com'] as $url) {
    printf("%-36s filter_var: %-5s  safe link: %s\n",
        $url,
        filter_var($url, FILTER_VALIDATE_URL) !== false ? 'yes' : 'no',
        isSafeLink($url) ? 'yes' : 'no');
}

javascript://comment%0Aalert(1) 能通过 FILTER_VALIDATE_URL，而点击这个链接时浏览器会把它当作 JavaScript 运行，因为 %0A 结束了 //comment。把用户提供的 URL 输出到页面之前，先用 parse_url() 检查协议。你还可以用 FILTER_FLAG_PATH_REQUIRED 和 FILTER_FLAG_QUERY_REQUIRED 要求 URL 必须包含某些部分。

净化过滤器

净化过滤器不回答“是”或“否”，而是移除字符。它们适合规范化输入，但不能让输入变得可以安全输出：

<?php
var_dump(filter_var('Order #12-345 (x2)', FILTER_SANITIZE_NUMBER_INT));
var_dump(filter_var('$1,299.99', FILTER_SANITIZE_NUMBER_FLOAT, FILTER_FLAG_ALLOW_FRACTION));
var_dump(filter_var('ada (at) example.com', FILTER_SANITIZE_EMAIL));
var_dump(filter_var('<b>Tom</b> & "Jerry"', FILTER_SANITIZE_FULL_SPECIAL_CHARS));

看第一行：Order #12-345 (x2) 变成了 12-3452，一个输入中从未出现过的数字；第三行则是一个没有人输入过的地址。如果做了净化，之后还要验证结果。对于输出到 HTML 中的任何内容，正确的工具是在输出时使用 htmlspecialchars()（FILTER_SANITIZE_FULL_SPECIAL_CHARS 做的是同样的转义）。FILTER_SANITIZE_STRING 从 PHP 8.1 起已被弃用；替代方案见 htmlspecialchars。

用 filter_var_array 验证整个表单

filter_var_array() 对每个键应用一个过滤器，返回的数组包含你要求的每个键：过滤后的值、验证失败时的 false，或者键不存在时的 null。

<?php
$input = ['age' => '31', 'email' => 'not-an-email', 'newsletter' => 'on', 'role' => 'admin'];

$clean = filter_var_array($input, [
    'age'        => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 13]],
    'email'      => FILTER_VALIDATE_EMAIL,
    'newsletter' => ['filter' => FILTER_VALIDATE_BOOL, 'flags' => FILTER_NULL_ON_FAILURE],
    'country'    => FILTER_DEFAULT,
]);

var_dump($clean);

role 不见了：没有列出的键会被丢弃，这样访问者就无法往表单里加上 role=admin 并让它被保存下来。country 是 null，因为它没有被提交。在 Web 服务器上，filter_input_array(INPUT_POST, $rules) 做同样的事，只是直接从请求中读取。