PHP前端数据校验需严格：一、用filter_var系列函数校验类型与格式；二、白名单机制限制枚举值；三、JSON输入启用异常模式并逐层校验；四、正则实现高精度自定义规则；五、统一清理与上下文安全转义。
如果您在PHP网站搭建过程中接收前端传入的数据，但未做严格校验，则可能导致类型混淆、非法输入绕过、越权操作甚至安全漏洞。以下是针对前端传入数据实施严格类型与格式校验的多种可行方法：
一、使用filter_var系列函数进行基础类型与格式过滤
filter_var及其配套函数是PHP原生提供的轻量、高效且语义明确的校验工具，适用于邮箱、URL、整数、IP等标准格式，能避免手动类型判断带来的逻辑缺陷。
1、对单个参数执行整数范围校验：使用filter_var($id, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 99999]])，该方式比is_int()或is_numeric()更可靠，可同时验证数值性与业务边界。
2、校验手机号格式：调用filter_var($phone, FILTER_VALIDATE_REGEXP, ['options' => ['regexp' => '/^1[3-9]\d{9}$/']])，精准匹配中国大陆11位手机号，避免正则裸写导致的错误处理缺失。
立即学习“PHP免费学习笔记（深入）”；
3、批量校验多个字段：将$_POST或JSON解析后的数组传入filter_var_array($input, $filters)，其中$filters为关联数组，如['email' => FILTER_VALIDATE_EMAIL, 'status' => FILTER_VALIDATE_INT]，确保无遗漏字段。
二、采用白名单机制限制枚举类参数取值
对type、status、order、gender等仅允许有限集合值的参数，必须拒绝所有未预定义的输入，防止攻击者通过传入非法字符串触发逻辑分支跳转或权限提升。
1、定义严格白名单数组：$validTypes = ['image', 'video', 'audio'];
2、执行严格比较校验：if (!in_array($type, $validTypes, true)) { throw new InvalidArgumentException('非法 type'); }，启用第三个参数true可避免'0' == false等类型隐式转换漏洞。
3、将白名单声明为类常量或配置项：const ALLOWED_ORDER = ['asc', 'desc'];，避免硬编码散落在多处造成维护不一致。
三、处理JSON输入时防范嵌套污染与编码陷阱
小程序或Vue前端常以application/json方式提交数据，PHP端若直接json_decode($_POST['data'], true)而不加防护，易受畸形Unicode、空键、深层缺失键或恶意键名攻击。
1、强制启用异常模式解析：$data = json_decode(file_get_contents('php://input'), true, 512, JSON_THROW_ON_ERROR);，确保解析失败立即中断流程而非返回null。
2、逐层检查嵌套键存在性：if (!isset($data['user']['profile']['name']) || !is_string($data['user']['profile']['name'])) { /* 拒绝 */ }，禁止直接访问未验证路径。
3、禁用用户控制的动态键名：不要使用$config[$user_input_key]，防止通过构造如'../../../../etc/passwd'实现路径遍历或变量覆盖。
四、结合正则表达式实现高精度自定义规则校验
对于身份证号、密码强度、中文姓名、车牌号等无法由filter_var覆盖的复杂格式，需借助preg_match配合严谨正则，确保字符集、长度、结构与校验码全部合规。
1、校验18位大陆身份证（含末位X）：preg_match('/^[1-9]\d{5}(18|19|20)\d{2}((0[1-9])|(1[0-2]))(([0-2][1-9])|10|20|30|31)\d{3}[0-9Xx]$/', $idCard)。
2、验证密码至少8位且含大小写字母与数字：preg_match('/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)[a-zA-Z\d]{8,}$/', $password)。
3、匹配纯中文姓名（2–10字，支持常见生僻字）：preg_match('/^[\x{4e00}-\x{9fa5}]{2,10}$/u', $name)，注意/u修饰符启用UTF-8 Unicode匹配。
五、统一执行输入清理与上下文安全转义
校验通过后仍需防范存储与输出阶段的注入风险，尤其当数据将进入SQL、HTML、Shell或文件系统时，必须按上下文分别处理。
1、输出至HTML页面前强制转义：$output = htmlspecialchars($raw, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');，ENT_SUBSTITUTE确保无效UTF-8字节被替换而非截断。
2、拼接SQL查询时杜绝字符串拼接：使用PDO预处理语句绑定参数，如$stmt->bindValue(':email', $email, PDO::PARAM_STR);。
3、对用户提交的URL或路径类字段二次校验：filter_var($url, FILTER_VALIDATE_URL) && filter_var($url, FILTER_SANITIZE_URL)，先验后清，双保险。
