phpEnv 默认禁用 filter 扩展，需在 php.ini 中取消 ;extension=filter 注释并重启服务；该扩展自 PHP 5.2.0 内置，启用后方可使用 filter_var() 等函数。
phpEnv 默认不启用 filter 扩展，但该扩展是 PHP 内置模块（自 5.2.0 起），无需单独安装，只需在 php.ini 中取消注释即可生效。它不是可选的第三方扩展，也不是通过 pecl 安装的——关掉它反而会导致 filter_var() 等函数报 Call to undefined function filter_var() 错误。
确认 filter 扩展是否已加载
直接运行以下代码检查：
<?php
var_dump(extension_loaded('filter'));
// 输出 bool(true) 表示已启用
?>
如果返回 false，说明扩展未启用，或被手动禁用（极少见）。
-
phpEnv的php.ini通常位于phpEnv\php\php.ini或面板中「PHP 配置」页可编辑的位置 - 搜索
;extension=filter—— 注意前面有分号，这是注释符号，需删掉 - 保存后重启 Web 服务（Apache/Nginx）或 phpEnv 控制面板中的 PHP 服务
- 再执行
php -m | findstr filter（Windows）或php -m | grep filter（Linux/macOS）验证
filter_var() 与 filter_input() 的使用差异
两者都依赖 filter 扩展，但数据来源和安全性边界不同：
立即学习“PHP免费学习笔记（深入）”；
-
filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)：先取值再过滤，$_POST可能已被其他代码修改，存在时序风险 -
filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL)：从原始输入源直接读取并过滤，跳过超全局数组中间态，更可靠 - 对整数带范围限制时，必须用
options数组：filter_input(INPUT_GET, 'page', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 100]]) -
FILTER_SANITIZE_*类过滤器始终返回字符串，哪怕输入是数字；若需强类型，请额外用(int)或intval()转换
常见错误：FILTER_SANITIZE_STRING 已被移除
PHP 8.1 起彻底删除了 FILTER_SANITIZE_STRING，很多旧教程仍写这个常量，实际运行会报 Undefined constant "FILTER_SANITIZE_STRING"。
- 替代方案：用
filter_var($str, FILTER_SANITIZE_SPECIAL_CHARS)（等价于htmlspecialchars($str, ENT_QUOTES, 'UTF-8')） - 如需更彻底清理 HTML，应组合使用：
strip_tags()+htmlspecialchars()，而不是依赖已废弃的过滤器 - 注意：所有
FILTER_SANITIZE_*都不防 XSS，仅作预处理；输出到 HTML 前仍必须调用htmlspecialchars()
为什么 filter_input_array() 更适合表单批量处理
处理含 10+ 字段的表单时，逐个调用 filter_input() 易出错且冗长。用 filter_input_array() 可一次性定义规则：
$rules = [
'username' => FILTER_SANITIZE_STRING,
'age' => ['filter' => FILTER_VALIDATE_INT, 'options' => ['min_range' => 1, 'max_range' => 120]],
'email' => FILTER_VALIDATE_EMAIL,
'bio' => FILTER_SANITIZE_SPECIAL_CHARS
];
$data = filter_input_array(INPUT_POST, $rules);
返回数组中每个键对应过滤结果，失败字段为 false 或 null（取决于 filter 类型）。但要注意：
- 该函数不会自动跳过空值或缺失字段，
$data['email']可能为null，需显式判断 - 不能混用
FILTER_SANITIZE_*和FILTER_VALIDATE_*的返回语义 —— 前者总返回字符串，后者验证失败返回false - 若表单含文件上传字段（
$_FILES），filter_input_array()完全不适用，需单独处理
真正容易被忽略的是：filter 扩展只管「输入清洗」，它不解决输出上下文混淆问题。比如把过滤后的用户名直接拼进 SQL 里，或未经 htmlspecialchars() 就 echo 到页面，前面所有过滤都白做。
