使用filter_input和filter_var进行基础过滤；2. 根据场景手动验证数据类型、转义HTML、限制文件路径；3. 数据库操作采用预处理语句防止SQL注入；4. 输出时按上下文使用htmlspecialchars、json_encode、urlencode转义。核心是不信任用户输入，结合多层防护构建安全链条。
处理用户输入是Web开发中最关键的安全环节之一。PHP中实现输入过滤的核心目标是防止恶意数据进入系统，避免SQL注入、XSS攻击、命令执行等安全问题。正确的做法不是依赖单一函数，而是结合数据类型、上下文和输出位置进行多层次过滤与验证。
1. 使用 filter\_input 和 filter\_var 进行基础过滤
PHP内置的Filter扩展提供了filter_input和filter_var函数，适合对GET、POST等输入做初步清洗。
-
获取并过滤GET参数：
filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT) 可提取整数ID -
验证邮箱格式：
filter_var($_POST['email'], FILTER_VALIDATE_EMAIL) 判断是否为合法邮箱 -
清理HTML标签（轻度）：
filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING) 去除基本危险字符（注意：该过滤器在PHP8中已被弃用，需谨慎使用）
2. 针对不同场景的手动过滤与验证
不能完全依赖自动过滤，必须根据用途决定处理方式。
- 数字类型：使用 (int)$_POST['age'] 或 is_numeric() + 类型判断
- 字符串内容：配合 htmlspecialchars() 转义HTML特殊字符，防止XSS，尤其用于页面输出时
- 文件路径或命令参数：避免直接拼接用户输入，必要时使用白名单限制允许值
- 富文本内容（如编辑器输入）：可使用HTML Purifier类库进行深度过滤，只保留安全标签和属性
3. 数据库操作中的安全防护
输入最终常用于数据库查询，此处最易发生SQL注入。
立即学习“PHP免费学习笔记（深入）”；
-
优先使用预处理语句（Prepared Statements）：
PDO或MySQLi都支持参数化查询，用户输入作为参数传入，不会被当作SQL代码执行 -
示例（PDO）：
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$_POST['email']]); - 即使已过滤输入，仍建议使用预处理，双重保障更安全
4. 输出时的上下文转义
同样的数据，在HTML、JavaScript、URL中输出时需不同处理。
- HTML上下文：用 htmlspecialchars($data, ENT_QUOTES, 'UTF-8')
- JS变量中嵌入：用 json_encode($data) 确保安全
- URL参数：使用 urlencode($data)
基本上就这些。关键是：不信任任何用户输入，按需过滤，结合验证、预处理和上下文转义，构建完整防御链。简单粗暴地全局addslashes或magic_quotes的做法早已过时且不可靠，现代PHP应用应采用更精细的策略。
