PHP filter_var 函数使用教程：数据过滤与验证详解

在PHP开发中，外部数据（如用户输入、API返回结果、数据库查询结果等）往往是不可信的。为了保证程序的安全性和数据的准确性，对数据进行验证和过滤是必不可少的环节。PHP提供了一个非常强大且内置的函数 filter_var()，它能够方便地对变量进行过滤和验证。本文将详细讲解 filter_var() 函数的使用方法及常见应用场景。

一、filter_var 函数基本语法

filter_var() 函数的语法非常简洁：

mixed filter_var ( mixed $variable [, int $filter = FILTER_DEFAULT [, mixed $options ]] )

• variable：必需。要过滤的变量。

• filter：可选。规定要使用的过滤器的 ID。默认是 FILTER_DEFAULT，即不进行任何过滤。

• options：可选。规定包含标志或选项的关联数组，或者单一的标志/选项。不同的过滤器支持不同的选项和标志。

二、数据验证（Validate）

验证过滤器用于检查数据是否符合特定的格式规范。如果验证通过，函数返回原数据；如果验证失败，则返回 false。

1. 验证邮箱地址

使用 FILTER_VALIDATE_EMAIL 过滤器可以轻松验证邮箱格式是否合法：

<?php
$email = "test@example.com";
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "邮箱格式正确";
} else {
    echo "邮箱格式错误";
}
?>

2. 验证URL地址

使用 FILTER_VALIDATE_URL 过滤器验证URL格式：

<?php
$url = "https://www.ipipp.com";
if (filter_var($url, FILTER_VALIDATE_URL)) {
    echo "URL格式正确";
} else {
    echo "URL格式错误";
}
?>

3. 验证IP地址

使用 FILTER_VALIDATE_IP 验证IP地址（同时支持IPv4和IPv6）：

<?php
$ip = "192.168.1.1";
if (filter_var($ip, FILTER_VALIDATE_IP)) {
    echo "IP地址格式正确";
} else {
    echo "IP地址格式错误";
}
?>

4. 验证整数

使用 FILTER_VALIDATE_INT 验证变量是否为合法的整数：

<?php
$int = 100;
if (filter_var($int, FILTER_VALIDATE_INT) !== false) {
    echo "是合法的整数";
} else {
    echo "不是合法的整数";
}
?>

三、数据清理（Sanitize）

清理过滤器用于去除或转义数据中的非法字符，它不检查格式是否合规，而是直接返回清理后的安全字符串。

1. 清理邮箱地址

使用 FILTER_SANITIZE_EMAIL 删除邮箱中所有不合法的字符（如空格、括号等）：

<?php
$email = "t(e)s*t@exa(m)ple.com";
$sanitized_email = filter_var($email, FILTER_SANITIZE_EMAIL);
echo $sanitized_email; // 输出：test@example.com
?>

2. 清理URL地址

使用 FILTER_SANITIZE_URL 删除URL中所有非法的字符：

<?php
$url = "https://www.ipipp.com/pa?q=te<>st";
$sanitized_url = filter_var($url, FILTER_SANITIZE_URL);
echo $sanitized_url; // 输出：https://www.ipipp.com/path?q=test
?>

3. 清理字符串（剥离标签）

使用 FILTER_SANITIZE_STRING 去除HTML标签和编码特殊字符（注意：PHP 8.1起此过滤器已弃用，建议使用htmlspecialchars或strip_tags代替，这里仅作语法演示）：

<?php
$str = "<h1>Hello World</h1>";
$sanitized_str = filter_var($str, FILTER_SANITIZE_STRING);
echo $sanitized_str; // 输出：Hello World
?>

注意，在上面的代码中，原字符串包含了 <h1> 标签，经过过滤后标签被移除。

4. 编码特殊字符

使用 FILTER_SANITIZE_SPECIAL_CHARS 对特殊字符进行HTML实体编码，这在防止XSS攻击时非常有用：

<?php
$str = "<script>alert('xss')</script>";
$sanitized_str = filter_var($str, FILTER_SANITIZE_SPECIAL_CHARS);
echo $sanitized_str;
// 输出：&lt;script&gt;alert(&#039;xss&#039;)&lt;/script&gt;
?>

四、使用选项和标志

许多过滤器可以接受可选的选项和标志，以改变过滤行为。选项通常放在关联数组的 options 键中，标志则放在索引数组中。

1. 验证整数范围

可以设置整数的最大值和最小值限制：

<?php
$int = 50;
$options = array(
    'options' => array(
        'min_range' => 0,
        'max_range' => 100
    )
);
if (filter_var($int, FILTER_VALIDATE_INT, $options) !== false) {
    echo "整数在0到100之间";
} else {
    echo "整数不在指定范围内";
}
?>

2. 验证URL必须包含查询字符串

使用 FILTER_FLAG_QUERY_REQUIRED 标志强制URL必须包含查询参数：

<?php
$url = "https://www.ipipp.com/test?id=1";
if (filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_QUERY_REQUIRED)) {
    echo "URL包含查询字符串";
} else {
    echo "URL不包含查询字符串";
}
?>

3. 验证仅限IPv4地址

使用 FILTER_FLAG_IPV4 标志限定只验证IPv4格式的地址：

<?php
$ip = "192.168.1.1";
if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
    echo "是合法的IPv4地址";
} else {
    echo "不是合法的IPv4地址";
}
?>

五、自定义过滤逻辑（FILTER_CALLBACK）

当内置过滤器无法满足需求时，可以使用 FILTER_CALLBACK 调用自定义函数来处理数据：

<?php
function convertToUpper($string) {
    return strtoupper($string);
}

$str = "hello world";
$filtered_str = filter_var($str, FILTER_CALLBACK, array('options' => 'convertToUpper'));
echo $filtered_str; // 输出：HELLO WORLD
?>

六、常用过滤器速查表

通过 filter_var() 函数，PHP开发者可以用极其简洁的代码完成复杂的数据验证与清理工作。合理使用Validate和Sanitize过滤器，不仅能够提高代码的健壮性，还能有效防范SQL注入、XSS攻击等常见安全风险。在实际开发中，建议对所有外部输入数据进行严格的过滤与验证。

PHPfilter_var数据验证数据过滤安全过滤