PHP不处理前端拖放交互，拖放是浏览器DOM事件；服务端需对拖放提交的文本或文件名进行过滤：文本用trim、htmlspecialchars及正则白名单清理；文件名须重命名、扩展名白名单校验，严禁依赖用户输入。
PHP 本身不处理前端拖放（drag & drop）的交互行为，拖放是浏览器端的 DOM 事件，发生在 JavaScript 层。所谓“在拖放时过滤非法字符”，实际是指：用户通过拖放上传文件（如拖入表单区域），或拖放文本内容到可编辑区域后，PHP 在接收到该数据（如 $_POST、$_FILES 或 AJAX 提交的文本）时，对其中的字符串进行非法字符过滤。
拖放文本内容后的服务端过滤
若用户拖放一段文本（比如从 Word、网页或记事本拖进 contenteditable 区域或 <textarea>），再提交表单，PHP 收到的是普通字符串。此时应立即做输入净化：
- 用
trim()去除首尾空白和不可见控制符 - 用
filter_var($str, FILTER_SANITIZE_FULL_SPECIAL_CHARS)转义 HTML 特殊字符（等价于htmlspecialchars(..., ENT_COMPAT | ENT_HTML5)） - 如需严格限制字符集（例如仅允许中文、英文字母、数字、空格、下划线），再叠加正则清理：
preg_replace('/[^\p{Han}\p{L}\p{N}\s_]/u', '', $str) - 避免使用已废弃的
FILTER_SANITIZE_STRING（PHP 8.1+ 彻底移除）
拖放上传文件时的文件名安全处理
拖放上传触发的是 $_FILES 数组。文件名（$_FILES['file']['name']）可能含非法字符（如 /、../、控制符、Null 字节），必须重命名后再保存：
- 用
pathinfo($name, PATHINFO_FILENAME)和pathinfo($name, PATHINFO_EXTENSION)拆分原始名称与扩展名 - 对文件名部分执行白名单过滤：
$safe_name = preg_replace('/[^\w\u4e00-\u9fa5\-_]/u', '_', $raw_name); - 强制生成唯一文件名（如
uniqid().'.png'），不依赖用户输入的文件名 - 检查扩展名是否在白名单中（如
in_array(strtolower($ext), ['jpg','png','pdf'])），不要只靠 MIME 类型
结合前端做初步拦截（增强体验）
虽然 PHP 是最终防线，但可在拖放目标区用 JS 预检文本内容，提升响应速度：
立即学习“PHP免费学习笔记（深入）”；
- 监听
drop事件，读取event.dataTransfer.getData('text/plain') - 用正则快速剔除明显非法字符（如控制字符
/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]/g） - 对粘贴/拖入的富文本，可用
DOMParser提取纯文本，再传给后端 - 注意：JS 过滤仅为辅助，不能替代 PHP 服务端验证
统一建议的过滤流程（推荐用于所有入口）
无论数据来自拖放、表单提交还是 API 请求，都应走一致的净化链：
- 第一步：
trim($input) - 第二步：根据用途选择 —— 输出 HTML 用
htmlspecialchars()；存数据库前用 PDO 预处理（不拼接 SQL）；存文件名则重命名+白名单扩展名 - 第三步：业务级字符限制用
preg_replace或filter_var+ 自定义正则（如只留手机号、用户名等格式） - 第四步：记录异常输入（如含 Null 字节、超长字段、疑似 SQL/XSS 片段），便于审计
