PHP Filter 過濾器完整指南：驗證與淨化輸入資料

簡介

PHP Filter 擴展提供統一、簡便的方式驗證與過濾來自不安全來源的資料（如表單輸入、Cookie、Web Service 回應、伺服器變數、資料庫查詢結果）。PHP 5.2 起內建核心，無需安裝。

核心過濾函數

兩大類過濾器

驗證過濾器

• 嚴格格式規則 (URL、Email、IP、整數、浮點數、布林、正則)
• 成功返回預期型別，失敗返回 false

淨化過濾器

• 允許/禁止字串中特定字元，無資料格式規則
• 永遠返回字串

常用過濾器 ID 速查

選項與旗標

透過關聯陣列 ['options' => [...], 'flags' => ...] 傳遞額外設定。例如：

<?php
$opts = [
    'options' => ['min_range' => 1, 'max_range' => 120],
    'flags' => FILTER_FLAG_ALLOW_OCTAL
];
filter_var($age, FILTER_VALIDATE_INT, $opts);
?>

實用範例

1. 驗證並淨化表單輸入

<?php
$filters = [
    'name'  => FILTER_SANITIZE_STRING,
    'age'   => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 1, 'max_range' => 120]],
    'email' => FILTER_VALIDATE_EMAIL,
];
$result = filter_input_array(INPUT_POST, $filters);

if (!$result['age']) {
    echo "年齡必須在 1~120 之間";
} elseif (!$result['email']) {
    echo "Email 格式錯誤";
} else {
    echo "資料驗證通過";
}
?>

2. 自定義回呼過濾器

<?php
function underscore_to_dot($str) {
    return str_replace('_', '.', $str);
}
$input = 'www_example_com';
echo filter_var($input, FILTER_CALLBACK, ['options' => 'underscore_to_dot']);
// 輸出: www.example.com
?>

3. 檢查 IP 版本

<?php
$ip = '2001:0db8:85a3::8a2e:0370:7334';
if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) {
    echo "合法的 IPv6 位址";
}
?>

安全建議

• 永遠對外部資料進行過濾，即使看似可信來源。
• 資料庫操作請改用預處理語句，勿仰賴過濾器防 SQL 注入。
• 輸出到 HTML 前請使用 htmlspecialchars() 或模板引擎自動逃逸，而非單靠 FILTER_SANITIZE_SPECIAL_CHARS。