PHP 8.5.7 不存在，当前最新稳定版为 8.3.x；filter_var($uri, FILTER_VALIDATE_URL) 不安全因其仅校验语法、不限制危险协议、不防 SSRF 与编码绕过；安全做法需白名单 scheme + parse_url 解析 + host/path 分步校验。
PHP 8.5.7 并不存在——截至目前（2024 年），PHP 官方最新稳定版是 8.3.x，8.4 处于 RC 阶段，8.5 尚未发布，更无 8.5.7 这个版本。所谓“PHP 8.5.7 新函数”是虚构的，不存在对应的一行 URI 安全校验函数。
为什么 filter_var($uri, FILTER_VALIDATE_URL) 不够安全？
它只校验语法合法性，不防恶意构造：
- 允许
javascript:、data:、vbscript:等危险 scheme - 接受含
%00、../的路径，可能绕过白名单逻辑 - 不检查 host 是否为内网地址（如
http://127.0.0.1），易触发 SSRF - 对 Unicode IDN 域名（如
xn--fsq.xn--0zwm56d）不做规范化，后续比对可能失效
真正可用的 URI 安全校验：组合判断 + 白名单 scheme
必须显式限定允许的协议，并剥离干扰部分后再验证。推荐这样写：
$uri = 'https://example.com/path?x=1';
$scheme_whitelist = ['https', 'http'];
$parsed = parse_url($uri);
if (!$parsed || !isset($parsed['scheme']) || !in_array(strtolower($parsed['scheme']), $scheme_whitelist, true)) {
throw new InvalidArgumentException('Invalid or disallowed URI scheme');
}
// 再用 filter_var 验证 host 和 path 合法性（可选增强）
if (!filter_var($parsed['host'], FILTER_VALIDATE_DOMAIN, FILTER_FLAG_HOSTNAME)) {
throw new InvalidArgumentException('Invalid host');
}
注意：parse_url() 在 PHP 8.3+ 对畸形 URI 更严格，但依然不拒绝 http://@evil.com 这类 trick，所以白名单校验不可省略。
立即学习“PHP免费学习笔记（深入）”；
避免踩坑：不要依赖 filter_var(..., FILTER_SANITIZE_URL)
这个过滤器已被弃用（PHP 8.4 起移除），且行为不可靠：
- 它不会移除
javascript:alert(1)，只会删掉某些控制字符 - 对双写编码（如
%252e%252e/→ 解码后是../）完全无感 - 不处理 URL 中的 fragment（
#...）或 query 参数里的恶意 payload
真正安全的做法是：先白名单 scheme + host，再对 path/query 做上下文相关的清理（比如用 basename() 提取文件名，或用 urldecode() + 正则过滤路径遍历）。
URI 校验从来不是“一行能搞定”的事；所谓“新函数”只是幻觉，关键在明确信任边界——你允许什么协议、哪些域名、是否允许端口、是否允许用户输入影响跳转目标。漏掉任意一环，都可能让校验形同虚设。
