当数据源含有未知或不确定数据时,将变得非常有用, 最多是用来处理由客户从 HTML 表单(form)提交的数据
该扩展含有两个主要的过滤类型: 验证(validation)和纠错(sanitization)
验证(validation)主要用来检查数据是不是符合特定条件, 例如: 当传入 FILTER_VALIDATE_EMAIL 时, 它将检查该邮件地址是否有效, 当发现不符合规范时, 不会进行纠错处理
纠错(sanitization)将会对数据进行处理, 将不符合规范的字符进行转换或移除, 例如: 当传入 FILTER_SANITIZE_EMAIL 时, 它将会处理邮件地址所包含不符合规范的字符, 但不会去检查该邮件地址是否有效
详细可见: http://in.php.net/manual/en/book.filter.php
提示: FILTER 在 PHP 5.2 版本中被加入
这里介绍一下验证(validation) Filters
FILTER_VALIDATE_BOOLEAN: 把值作为布尔选项来验证,对 "1", "true", "on" 和 "yes" 返回 TRUE, 其余的都返回 FALSE FILTER_VALIDATE_EMAIL: 把值作为邮件地址来验证 FILTER_VALIDATE_FLOAT: 把值作为浮点数来验证 FILTER_VALIDATE_INT: 以整数验证值,可以选择范围 FILTER_VALIDATE_IP: 把值作为 IP 进行验证 FILTER_VALIDATE_REGEXP: 根据兼容 Perl 的正则表达式来验证值 FILTER_VALIDATE_URL: 把值作为 URL 进行验证
<?php $email_a = '[email protected]'; $email_b = 'invalid@email'; if (filter_var($email_a, FILTER_VALIDATE_EMAIL)) { echo "This ($email_a) email address is valid."; } else { echo "This ($email_a) email address is invalid."; } if (filter_var($email_b, FILTER_VALIDATE_EMAIL)) { echo "This ($email_b) email address is valid."; } else { echo "This ($email_b) email address is invalid."; } //输出以下内容: This ([email protected]) email address is valid. This (invalid@email) email address is invalid. ?>
<?php $ip_a = '127.0.0.1'; $ip_b = '52.69'; if (filter_var($ip_a, FILTER_VALIDATE_IP)) { echo "This ($ip_a) IP address is valid."; }else{ echo "This ($ip_a) IP address is invalid."; } if (filter_var($ip_b, FILTER_VALIDATE_IP)) { echo "This ($ip_b) IP address is valid."; }else{ echo "This ($ip_b) IP address is invalid."; } //输出以下内容: This (127.0.0.1) IP address is valid. This (52.69) IP address is invalid. ?>
纠错(sanitization) Filters
FILTER_SANITIZE_EMAIL: 移除所有字符, 除了字母,数字和 !#$%&'*+-/=?^_`{|}~@.[]. FILTER_SANITIZE_ENCODED: 去除 URL 编码不需要的字符, 与 urlencode() 函数很类似 FILTER_SANITIZE_MAGIC_QUOTES: 在指定的预定义字符前添加反斜杠, 单引号(')、双引号(")、反斜线(\)与 NULL FILTER_SANITIZE_NUMBER_FLOAT: 移除所有字符, 除了数字,+- 和可选(.,) FILTER_SANITIZE_NUMBER_INT: 移除所有字符, 除了数字和 +- FILTER_SANITIZE_SPECIAL_CHARS: 用于对 "<>& 以及 ASCII 值在 32 值以下的字符进行转义 FILTER_SANITIZE_STRING: 删除那些对应用程序有潜在危害的数据。它用于去除标签以及删除或编码不需要的字符 FILTER_SANITIZE_STRIPPED: 去除或编码不需要的字符,是 FILTER_SANITIZE_STRING 的别名 FILTER_SANITIZE_URL: 移除所有字符, 除了字母,数字和 $-_.+!*'(),{}|\\^~[]`<>#%";/?:@&=. FILTER_UNSAFE_RAW: 不进行任何过滤,去除或编码特殊字符
范例:
<?php $invalid_email = "(corrupted@foo dot com)"; if (!filter_var($invalid_email, FILTER_VALIDATE_EMAIL)) { $sanitized_email = filter_var($invalid_email, FILTER_SANITIZE_EMAIL); echo "This ($invalid_email) email address is invalid."; echo "Sanitized Email is: $sanitized_email"; } //输出以下内容: This ((corrupted@foo dot com)) email address is invalid. Sanitized Email is: [email protected] ?>
过滤 GET 和 POST 变量
filter_input(input_type, variable, filter, options) //函数从脚本外部获取输入,用于对来自非安全来源的变量进行验证,比如用户的输入 //可以从以下来源获取输入 INPUT_GET INPUT_POST INPUT_COOKIE INPUT_ENV INPUT_SERVER
input_type 规定输入类型, 参见上面可能的类型 variable 规定要过滤的变量 filter 可选。规定要使用的过滤器的 ID。默认是 FILTER_SANITIZE_STRING。
范例:
<?php $search_html = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_SPECIAL_CHARS); $search_url = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_ENCODED); echo "You have searched for $search_html."; echo "<a href="sunzhenghua.com?search=$search_url">Search again.</a>"; ?>