CodeIgniter框架作为轻量级的PHP开发框架，内置的表单验证和输入过滤功能能够有效保障数据处理的安全性和规范性，但不少开发者在实际使用时会遇到表单验证不生效的问题，也不清楚输入数据过滤的正确配置方式。
CodeIgniter表单验证失效的常见原因
1. 验证库未正确加载
CodeIgniter的表单验证功能依赖form_validation库，如果没有在控制器中加载该库，验证规则不会生效。可以在控制器的构造函数中加载，也可以在具体方法中加载。
<?php
defined('BASEPATH') OR exit('No direct script access allowed');
class User extends CI_Controller {
public function __construct() {
parent::__construct();
// 构造函数中加载表单验证库
$this->load->library('form_validation');
}
public function register() {
// 验证规则配置
$this->form_validation->set_rules('username', '用户名', 'required|min_length[3]');
$this->form_validation->set_rules('password', '密码', 'required|min_length[6]');
if ($this->form_validation->run() == FALSE) {
// 验证失败，返回表单页面
$this->load->view('register_form');
} else {
// 验证成功，处理数据
echo '注册成功';
}
}
}
?>
2. 表单提交方式不匹配
如果表单的提交方式是POST，而验证时使用了GET参数获取数据，或者反之，会导致验证无法获取到提交的数据。默认情况下form_validation会自动获取对应提交方式的数据，但是如果手动指定了数据源可能出现问题。
3. 验证规则配置错误
验证规则的语法错误会导致规则不生效，比如规则之间的分隔符用错，或者使用了不存在的验证规则。所有规则需要用竖线分隔，且规则名称要和框架内置的规则一致，自定义规则需要先定义再使用。
4. CSRF保护未正确配置
如果开启了CodeIgniter的CSRF保护，但是表单中没有添加CSRF令牌字段，会导致表单提交被拦截，看起来像是验证失效。需要在表单中添加<input type="hidden" name="<?php echo $this->security->get_csrf_token_name(); ?>" value="<?php echo $this->security->get_csrf_hash(); ?>">，或者直接使用<?php echo form_hidden($this->security->get_csrf_token_name(), $this->security->get_csrf_hash()); ?>（需要加载form辅助函数）。
CodeIgniter输入数据过滤设置方法
1. 使用内置的Input类过滤
CodeIgniter的input类提供了多种数据过滤方法，可以在获取输入数据时使用，避免恶意数据注入。
<?php
// 获取POST提交的username，并过滤XSS
$username = $this->input->post('username', TRUE);
// 获取GET提交的page参数，转为整数
$page = $this->input->get('page', TRUE);
$page = intval($page);
// 获取cookie中的user_id，过滤XSS
$user_id = $this->input->cookie('user_id', TRUE);
?>
第二个参数为TRUE时，会自动调用xss_clean方法过滤XSS攻击代码，如果不需要XSS过滤可以设置为FALSE或者不填。
2. 在验证规则中添加过滤规则
可以在表单验证规则中直接添加过滤相关的规则，比如trim去除首尾空格，xss_clean过滤XSS内容，htmlspecialchars转义HTML字符等。
<?php
$this->form_validation->set_rules('content', '内容', 'required|trim|xss_clean|htmlspecialchars');
?>
3. 全局输入过滤配置
可以在application/config/config.php中配置全局的输入过滤规则，对所有输入数据生效。
<?php // 开启全局XSS过滤 $config['global_xss_filtering'] = TRUE; // 开启自动过滤输入数据中的HTML标签 $config['allow_get_array'] = TRUE; $config['enable_query_strings'] = FALSE; // 设置允许的字符集 $config['charset'] = 'UTF-8'; ?>
4. 自定义过滤规则
如果有特殊的过滤需求，可以自定义过滤函数，然后添加到验证规则中使用。首先需要创建自定义规则：
<?php
// 在application/libraries目录下创建MY_Form_validation.php
class MY_Form_validation extends CI_Form_validation {
public function __construct($rules = array()) {
parent::__construct($rules);
}
// 自定义过滤规则，只允许中文和字母
public function filter_chinese_alpha($str) {
if (preg_match('/^[x{4e00}-x{9fa5}a-zA-Z]+$/u', $str)) {
return TRUE;
} else {
$this->set_message('filter_chinese_alpha', '字段%s只能包含中文和字母');
return FALSE;
}
}
}
?>
然后在验证规则中使用自定义的规则：
<?php
$this->form_validation->set_rules('nickname', '昵称', 'required|filter_chinese_alpha');
?>
常见问题排查步骤
如果遇到表单验证失效的问题，可以按照以下步骤排查：
- 检查
form_validation库是否已经加载 - 检查表单的提交方式和获取数据的方式是否匹配
- 检查验证规则的语法是否正确，是否有拼写错误
- 检查是否开启了CSRF保护，表单中是否添加了对应的令牌字段
- 使用
print_r($this->input->post())查看是否成功获取到提交的表单数据 - 检查是否有其他代码修改了提交的数据，导致验证时数据不符合规则
正确配置输入数据过滤能够有效避免SQL注入、XSS攻击等安全问题，结合表单验证规则，可以保障用户输入的数据符合业务要求，提升应用的稳定性和安全性。
CodeIgniter表单验证输入数据过滤form_validation修改时间：2026-06-29 01:15:42