在PHP项目里，请求过滤规则决定了系统如何对待用户传来的数据。修改这些规则的核心目标是对输入做净化，去掉脚本标签、控制字符和可疑内容，从而降低安全风险。
为什么需要修改请求过滤规则
默认情况下PHP并不会主动净化GET、POST等数据。如果直接拼接SQL或输出到页面，容易被注入。通过修改过滤规则，我们可以统一在入口做处理。
使用filter_var修改基础过滤
PHP自带的filter_var函数支持多种过滤器，可以通过调整类型来净化字符串。
<?php
// 原始用户输入
$email = $_POST['email'] ?? '';
// 修改过滤规则：使用FILTER_SANITIZE_EMAIL净化
$clean_email = filter_var($email, FILTER_SANITIZE_EMAIL);
// 再使用校验过滤器
if (filter_var($clean_email, FILTER_VALIDATE_EMAIL)) {
echo '邮箱合法：' . $clean_email;
} else {
echo '邮箱不合法';
}
?>
自定义正则过滤规则
当内置过滤器不够用时，可以用preg_replace写自己的净化规则，比如去掉所有HTML标签。
<?php
function purify_input($data) {
// 去掉script标签及内容
$data = preg_replace('/<scriptb[^>]*>(.*?)</script>/is', '', $data);
// 去掉其他HTML标签
$data = strip_tags($data);
// 去掉控制字符
$data = preg_replace('/[x00-x1Fx7F]/', '', $data);
return trim($data);
}
$user_comment = $_POST['comment'] ?? '';
$safe_comment = purify_input($user_comment);
?>
在入口文件统一修改规则
我们可以在入口处遍历$_GET和$_POST，应用同一套净化逻辑，避免每个脚本单独处理。
<?php
// init.php 入口过滤
foreach (array('_GET', '_POST') as $glob) {
foreach ($GLOBALS[$glob] as $k => $v) {
if (is_string($v)) {
$GLOBALS[$glob][$k] = htmlspecialchars($v, ENT_QUOTES, 'UTF-8');
}
}
}
?>
框架中的过滤规则修改
如果使用ThinkPHP等框架，可以修改中间件或验证器规则。下面以简单中间件为例：
<?php
// 简单中间件示例
class SafeFilter {
public function handle($request, $next) {
$input = $request->all();
array_walk($input, function (&$val) {
if (is_string($val)) {
$val = strip_tags($val);
}
});
$request->replace($input);
return $next($request);
}
}
?>
常见注意点
- 过滤规则不要过度，避免误删正常符号。
- 输出到页面时用
htmlspecialchars再次转义。 - 数据库操作必须使用预处理语句，不能只靠过滤。
修改PHP请求过滤规则的本质，是在数据进入业务逻辑前建立一道净化屏障，规则越明确，系统越安全。