在PHP网站设计中，表单是用户与系统交互的核心入口，但也是安全风险最集中的地方。服务端不能信任任何客户端提交的数据，必须在接收、校验、存储、输出四个环节都建立防护。本文围绕PHP表单数据处理的安全技巧，从实际代码出发说明如何构建可靠的过滤与防御机制。
一、接收阶段：使用过滤函数获取干净输入
很多初学者直接用$_POST['field']取值，再传给数据库或页面，这等于把主动权交给攻击者。PHP提供的filter_input函数可以在取值时就按类型过滤，避免后续到处写判断。它支持整数、邮箱、URL等多种内置过滤器，也能用正则表达式做自定义校验。
例如用户年龄应为正整数，可用FILTER_VALIDATE_INT配合范围选项；邮箱则用FILTER_VALIDATE_EMAIL。当过滤失败返回false时，直接拒绝请求即可，不必进入业务逻辑。这样把脏数据挡在门口，比事后清洗更省心。
<?php
$age = filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, [
'options' => ['min_range' => 1, 'max_range' => 120]
]);
if ($age === false) {
die('年龄不合法');
}
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if ($email === false) {
die('邮箱格式错误');
}
?>
二、防XSS：输出到页面前转义HTML
即使数据库里存的是干净文本，直接echo到HTML页面仍可能被注入脚本。比如用户昵称填了<script>alert(1)</script>，若不处理就会执行。htmlspecialchars能把特殊字符转成实体，让浏览器只当文字显示。
注意要指定编码与引号处理方式，推荐用ENT_QUOTES | ENT_HTML5并声明utf-8。模板渲染时统一封装一个e()函数做转义，比手写更不容易漏。下表列出常见字符的转义结果：
| 原始字符 | 转义后 |
|---|---|
| < | < |
| > | > |
| & | & |
| 单引号 | ' |
<?php
function e($str) {
return htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8');
}
$nickname = $_POST['nickname'] ?? '';
?>
<div>用户：<?php echo e($nickname); ?></div>
三、防SQL注入：预处理语句代替拼接
把表单值拼进SQL字符串是典型错误，攻击者在密码框写' OR '1'='1就能绕过登录。PDO或mysqli的预处理机制把SQL结构与数据分开传，数据库先编译语句再绑参数，从根源上杜绝注入。
下面用PDO演示插入用户留言。prepare后的占位符不需要关心内容里有没有引号或分号，execute时驱动会自动转义。相比mysqli，PDO支持多种数据库且写法统一，更适合长期维护的项目。
<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8', 'user', 'pass');
$stmt = $pdo->prepare('INSERT INTO msg (title, content) VALUES (?, ?)');
$stmt->execute([
filter_input(INPUT_POST, 'title', FILTER_SANITIZE_STRING),
filter_input(INPUT_POST, 'content', FILTER_SANITIZE_STRING)
]);
?>
四、文件上传与CSRF的额外防护
带上传功能的表单要限制类型与大小，用finfo检测真实MIME而非信后缀名。同时任何写操作表单都应带CSRF令牌：会话生成随机串，表单隐藏域提交，服务端比对不一致就丢弃，防止跨站请求伪造。
令牌用session_start后存入$_SESSION，每次渲染表单时取出。如下代码展示最简实现，生产环境可结合过期时间进一步增强。把这几层叠加，PHP表单数据处理才算基本安全。
<?php
session_start();
if (empty($_SESSION['csrf'])) {
$_SESSION['csrf'] = bin2hex(random_bytes(16));
}
if ($_POST && $_POST['csrf'] !== $_SESSION['csrf']) {
die('CSRF校验失败');
}
?>
<form method="post">
<input type="hidden" name="csrf" value="<?php echo e($_SESSION['csrf']); ?>">
</form>