PHP 8.3 无内置表单验证框架，仍依赖 filter_var() 和 filter_input()，需手动组合规则、校验与清洗，注意 deprecated 过滤器、语义边界及错误处理。
PHP 8.3 本身不提供内置的“表单验证框架”，filter_var() 和 filter_input() 仍是主力，但必须配合明确的规则和手动逻辑——别指望它自动绑定位字段或返回结构化错误。
用 filter_input() 读取并初步过滤比直接取 $_POST 安全得多
直接读 $_POST['email'] 没做任何类型/范围检查，容易传入空字符串、空格、超长值甚至恶意 payload。而 filter_input() 可一步完成读取 + 类型转换 + 基础校验。
-
filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]])返回int或false，不会返回字符串"18" - 对邮箱：
filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL)清洗后仍需用filter_var($email, FILTER_VALIDATE_EMAIL)再校验，因为FILTER_SANITIZE_EMAIL不报错，只删非法字符 - 注意：所有
FILTER_SANITIZE_*系列在 PHP 8.3 中已被标记为 deprecated（如FILTER_SANITIZE_STRING已彻底移除），改用FILTER_SANITIZE_SPECIAL_CHARS或手动htmlspecialchars()
filter_var() 验证邮箱、URL、IP 时要注意上下文语义
比如 filter_var('test@localhost', FILTER_VALIDATE_EMAIL) 返回 true，但多数业务不允许本地域；filter_var('127.0.0.1', FILTER_VALIDATE_IP) 也通过，可未必是你想要的公网 IP。
- 邮箱建议追加正则限制长度和域名部分：
preg_match('/^[a-zA-Z0-9._%+-]{1,64}@[a-zA-Z0-9.-]{1,63}\.[a-zA-Z]{2,}$/', $email) - URL 校验用
FILTER_VALIDATE_URL会接受javascript:alert(1)，必须额外拒绝javascript:、data:等 scheme - IP 若只要 IPv4，显式加
FILTER_FLAG_IPV4；需要排除私有地址就自己查ip_is_private($ip)
自定义验证逻辑必须早于数据库写入，且错误要保留原始输入
用户填了手机号 138****1234（带星号），你校验时把它当字符串过一遍正则没问题，但存库前若没清理星号就会写入脏数据。更常见的是 trim 后忘了重新赋值。
立即学习“PHP免费学习笔记（深入）”；
- 先统一
$input = filter_input(INPUT_POST, 'phone', FILTER_SANITIZE_FULL_SPECIAL_CHARS)，再$clean = preg_replace('/[^0-9+]/', '', $input) - 校验失败时，把原始
$input传回模板（不是$clean），否则用户看到的是被清空的字段 - 不要在验证函数里直接
die()或重定向——PHP 8.3 的错误处理更倾向抛出ValueError，便于上层统一 catch
真正麻烦的不是语法，是边界：比如用户名允许 Unicode 但禁止 emoji，密码要求含大小写字母+数字但不能有连续重复字符——这些都得手写逻辑，filter_var() 压根不碰。
