PHP filter_input() 深度解析：輸入驗證與過濾的現代原生方案

PHP 5.2 引入 **Filter 擴充套件**，提供 filter_input()、filter_var() 等原生函數，**無需撰寫正則即可完成常見輸入驗證/過濾**。本文詳細說明 filter_input() 語法、輸入來源常數、過濾器/驗證器旗標、實戰範例與**已知陷阱**（布林驗證行為），助你建構安全、可維護的輸入處理層。

一、語法與參數

filter_input(int $type, string $var_name, int $filter = FILTER_DEFAULT, array|int $options = 0): mixed

• $type：輸入來源常數（見下表）。
• $var_name：變數名稱（如 'email'）。
• $filter：過濾器/驗證器 ID（見下表）。
• $options：旗標陣列或位元組合（如 FILTER_FLAG_STRIP_HIGH）。
• **回傳**：過濾後的值、false（驗證失敗）、null（變數不存在）。

二、輸入來源常數

三、常用過濾器/驗證器

四、實戰範例

<?php
// 1. 取得並驗證整數 ID (1~1000)
$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 1, 'max_range' => 1000]
]);
if ($id === false || $id === null) {
    die('無效 ID');
}

// 2. 取得並過濾 Email
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die('Email 格式錯誤');
}

// 3. 批次處理表單 (搭配 filter_input_array)
$filters = [
    'username' => FILTER_SANITIZE_STRING,
    'age'      => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range'=>18]],
    'email'    => FILTER_VALIDATE_EMAIL,
    'tags'     => ['filter' => FILTER_SANITIZE_STRING, 'flags' => FILTER_REQUIRE_ARRAY],
];
$data = filter_input_array(INPUT_POST, $filters);
// $data['age'] 可能為 false/null，需額外檢查

五、重大陷阱：FILTER_VALIDATE_BOOLEAN 行為

var_dump(filter_var('abc', FILTER_VALIDATE_BOOLEAN)); // bool(false)
var_dump(filter_var('0',   FILTER_VALIDATE_BOOLEAN)); // bool(false)  <-- 字串 "0" 視為 false
var_dump(filter_var('1',   FILTER_VALIDATE_BOOLEAN)); // bool(true)
var_dump(filter_var('on',  FILTER_VALIDATE_BOOLEAN)); // bool(true)
var_dump(filter_var('yes', FILTER_VALIDATE_BOOLEAN)); // bool(true)
var_dump(filter_var('',    FILTER_VALIDATE_BOOLEAN)); // bool(false)

陷阱：字串 "0" 被視為 false，**但 "false" 字串卻回傳 true**（非空字串預設真）。若需嚴格 "true"/"false" 對應，請自訂驗證或使用 FILTER_VALIDATE_REGEXP。

六、filter_input() vs filter_var() 選用指南

七、現代專案整合建議

• 表單請求物件：封裝 filter_input_array 為 Request::validated()，集中管理規則。
• 搭配驗證庫：Laravel Validator、Symfony Validator、Respect\Validation 底層多呼叫 Filter 函數，上層提供更豐富規則與錯誤訊息。
• PHP 8.1+ 注意：FILTER_SANITIZE_STRING 已棄用，**改用 htmlspecialchars()** 或 FILTER_SANITIZE_FULL_SPECIAL_CHARS。
• 不要過度依賴：Filter 只能處理**單一欄位、單一規則**；複雜業務規則（跨欄位、資料庫查重）仍需自訂邏輯。

善用 filter_input() 可消除大量手寫正則與 isset/empty 判斷，建立**宣告式、可測試、安全**的輸入邊界。