PHP 字符串特殊符號過濾：從遍歷替換到正則/白名單最佳實踐

過濾字符串中的特殊符號是表單驗證、文件名淨化、搜索關鍵詞預處理常見需求。本文從原始遍歷替換演進到高性能正則、白名單策略，提供生產級方案。

原始方案：逐字符 str_replace（教學用）

function strFilter_v1(string $str): string {
    $symbols = ['`', '·', '~', '!', '！', '@', '#', '$', '￥', '%', '^', '…', '&', '*', 
                '(', ')', '（', '）', '-', '_', '—', '+', '=', '|', '\\', '[', ']', 
                '【', '】', '{', '}', ';', '；', ':', '：', '\'', '"', '“', '”', 
                ',', '，', '<', '>', '《', '》', '.', '。', '/', '、', '?', '？'];
    return trim(str_replace($symbols, '', $str));
}
// 缺點：維護困難、易漏字符、性能隨符號表增長線性下降

進階方案：正則表達式一次性替換

function strFilter_v2(string $str): string {
    // 定義允許保留的字符類（白名單思維）
    // 這裡保留：中文、英文、數字、空格、基本標點
    $pattern = '/[^\p{Han}\p{L}\p{N}\s\p{P}]/u';
    return trim(preg_replace($pattern, '', $str));
}
// \p{Han} 中文字符、\p{L} 所有字母、\p{N} 數字、\p{P} 標點、\s 空白
// u 修飾符啟用 UTF-8 模式

場景化白名單策略（推薦生產使用）

高性能實現：預編譯正則 + 靜態緩存

class StringFilter {
    private static array $patterns = [];
    
    public static function filter(string $str, string $scene = 'default'): string {
        $pattern = self::getPattern($scene);
        return trim(preg_replace($pattern, '', $str));
    }
    
    private static function getPattern(string $scene): string {
        if (!isset(self::$patterns[$scene])) {
            self::$patterns[$scene] = self::buildPattern($scene);
        }
        return self::$patterns[$scene];
    }
    
    private static function buildPattern(string $scene): string {
        return match ($scene) {
            'username' => '/[^a-zA-Z0-9_\p{Han}]/u',
            'search'   => '/[^\p{Han}\p{L}\p{N}\s，。！？、；：“”‘’]/u',
            'filename' => '/[^\p{Han}\p{L}\p{N}\s_\-.()（）\[\]【】]/u',
            'default'  => '/[^\p{L}\p{N}\p{P}\p{Z}]/u', // 可見字符
        };
    }
}

// 使用
$clean = StringFilter::filter($userInput, 'search');

Unicode 字符屬性速查 (\p{...})

• \p{L} / \p{Letter}：所有字母
• \p{N} / \p{Number}：所有數字
• \p{P} / \p{Punct}：所有標點
• \p{Z} / \p{Separator}：所有空白（含不可見）
• \p{Han}：漢字（CJK 統一表意文字）
• \p{Script=Hiragana}：平假名
• \p{Emoji}：Emoji (PCRE 10.32+ / PHP 7.3+)

常見陷阱與避坑

1. 多字節字符破壞： strlen/str_replace 按字節操作，破壞 UTF-8，必須用 mb_* 或 preg_* (u 修飾符)
2. 過度過濾導致業務受損： 如郵箱過濾 @、..、-、+ 導致無法註冊
3. 正則性能災難： 避免 .* 貪婪匹配、嵌套量詞、回溯陷阱，複雜場景用 PCRE_JIT (PHP 7.0+ 默認開啟)
4. 編碼不一致： 文件編碼、數據庫連接編碼、HTML meta charset、正則 u 修飾符必須全鏈路 UTF-8
5. 安全繞過： 僅前端 JS 過濾無效，後端必須二次驗證

對比總結

堅持「白名單驗證、場景化正則、Unicode 感知、統一封裝」，告別特殊符號過濾的無限 if-else。