应使用filter_input()等原生过滤函数替代直接访问$_POST，因其可自动验证、过滤、类型转换并避免未定义索引错误，提升安全性与可维护性。
PHP表单提交后怎么立刻判断参数是否合法
直接用 $_POST 或 $_GET 取值后手动检查，是最常见也最容易出错的方式。别依赖前端 JS 校验，服务端必须重验；也别写一堆 if (!isset($_POST['name']) || empty($_POST['name'])) 套娃，可读性差还漏边界。
推荐用 PHP 原生的 filter_var() 和 filter_input()，它们专为表单校验设计，支持类型转换、截断、默认值和预设规则：
-
filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL)返回邮箱字符串（合法）或false（非法），不抛异常 -
filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]])自动转整型并范围检查 - 对必填字段，先用
filter_has_var(INPUT_POST, 'username')判断键是否存在，再校验值，避免Notice: Undefined index
怎么统一处理多个字段并收集所有错误
手写 if/else 挨个校验，错一个就 return，用户得反复提交——体验差，后端也难维护。更合理的是把校验逻辑集中，一次跑完所有字段，汇总错误到数组里：
$errors = [];
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
if (!$username) {
$errors['username'] = '用户名不能为空';
} elseif (strlen($username) < 3 || strlen($username) > 20) {
$errors['username'] = '用户名长度应在3-20个字符';
}
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if (!$email) {
$errors['email'] = '邮箱格式不正确';
}
// ……其他字段
if (!empty($errors)) {
// 返回 JSON 或重新渲染表单，带上 $errors
}
注意：FILTER_SANITIZE_STRING 在 PHP 8.1+ 已废弃，改用 FILTER_SANITIZE_FULL_SPECIAL_CHARS 或手动 htmlspecialchars()；敏感字段如密码，不要用 sanitize，只做非空和长度校验即可。
立即学习“PHP免费学习笔记（深入）”；
为什么不能直接用 $_POST['xxx'] 做校验
直接访问 $_POST['xxx'] 会触发 PHP Notice（当字段缺失时），在 error_reporting 开启 E_ALL 的生产环境可能暴露路径或导致 JSON 输出中断。更严重的是：它不自动过滤、不类型转换、不防空格干扰。
比如用户提交 email=abc@ （带空格），$_POST['email'] 原样返回，filter_var($email, FILTER_VALIDATE_EMAIL) 却会失败——但你如果没 trim 就直接校验，会误判为格式错，实际只是首尾空格问题。
- 永远优先用
filter_input()替代直接读$_POST - 对字符串字段，加
FILTER_SANITIZE_STRING（旧版）或FILTER_SANITIZE_FULL_SPECIAL_CHARS（新版）后再校验 - 数字类字段务必用
FILTER_VALIDATE_INT或FILTER_VALIDATE_FLOAT，别用(int)强转——'123abc'强转后是123，校验就失效了
上传文件的表单字段怎么校验
文件字段（<input type="file">）不走 $_POST，而是在 $_FILES 中，且结构嵌套更深。不能用 filter_input()，必须手动检查 $_FILES['avatar']['error'] 状态码。
常见错误包括：UPLOAD_ERR_NO_FILE（没选文件）、UPLOAD_ERR_INI_SIZE（超 php.ini 限制）、UPLOAD_ERR_OK（上传成功）。校验顺序必须是：
- 先查
$_FILES['avatar']['error'] === UPLOAD_ERR_OK - 再用
is_uploaded_file($_FILES['avatar']['tmp_name'])防止伪造路径 - 然后用
getimagesize()或finfo_open()检查真实 MIME 类型（不能信$_FILES['avatar']['type']，前端可伪造） - 最后检查扩展名（白名单：如
in_array(pathinfo($_FILES['avatar']['name'], PATHINFO_EXTENSION), ['jpg','png'])）
文件校验环节多、易漏，建议抽成独立函数，且所有临时文件操作前都确认 is_uploaded_file() 成立——这是最常被跳过的安全步骤。
