最常用的是filter_var()，它内置邮箱、URL、整数等校验规则，安全省事；preg_match()仅适用于复杂业务逻辑，如密码强度验证。
PHP后端验证最常用的是filter_var()还是preg_match()？
直接用 filter_var() 做基础类型和格式校验，比手写 preg_match() 更安全、更省事。它内置了邮箱、URL、整数、浮点、IP等常见规则，且会自动处理空格和类型转换问题；而正则适合复杂业务逻辑（比如密码必须含大小写字母+数字+符号），但写错容易绕过验证。
常见错误：把用户输入直接传给 filter_var($input, FILTER_SANITIZE_STRING) ——这个过滤器在 PHP 8.1+ 已被移除，且旧版本也不该用于“验证”，它只是清理，不报错也不返回 false。
实操建议：
- 邮箱验证用
filter_var($email, FILTER_VALIDATE_EMAIL)，它会检查 @ 和域名格式，但不验证邮箱是否真实存在 - 整数验证用
filter_var($id, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1]])，加范围选项比单独is_int()可靠得多 - 避免用
filter_input(INPUT_POST, 'name')直接取值后不做验证——它只做输入读取，不等于已校验
$_POST数据进数据库前，为什么不能只靠mysqli_real_escape_string()？
mysqli_real_escape_string() 只防 SQL 注入，不防业务逻辑错误。比如用户提交 age=300 或 price=-999，逃逸函数照单全收，但业务上根本不合理。
立即学习“PHP免费学习笔记（深入）”；
真正要做的，是分层防御：先用 filter_var() 或自定义规则做语义验证（值是否在合理区间、是否符合业务含义），再用预处理语句（mysqli_prepare() 或 PDO 的 prepare()）防止注入。
示例场景：用户注册时提交年龄
$age = $_POST['age'] ?? '';
if (!filter_var($age, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]])) {
die('年龄必须是1-120之间的整数');
}
// ✅ 此时 $age 是 int 类型，可安全用于预处理参数
$stmt = $pdo->prepare('INSERT INTO users (age) VALUES (?)');
$stmt->execute([$age]);
怎么统一处理多个字段的验证并收集所有错误？
别用一连串 if + die()，那样第一个错就中断了，用户得反复提交才能看到下一个问题。应该把验证逻辑集中，逐个检查，把错误信息存进数组，最后一起返回。
关键点在于：每个字段验证后，不立即退出，而是记录错误；验证完再判断数组是否为空。
实操建议：
- 用关联数组存错误，键名对应字段名，比如
$errors['email'] = '邮箱格式不正确' - 对必填字段，先用
isset()和trim()判断是否为空，再做格式验证 - 注意
filter_var()对空字符串返回false，但''经trim()后仍是''，需显式判断=== ''防止误判
一个轻量示例：
$errors = [];
$email = $_POST['email'] ?? '';
if ($email === '') {
$errors['email'] = '邮箱不能为空';
} elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors['email'] = '邮箱格式不正确';
}
$password = $_POST['password'] ?? '';
if (strlen($password) < 8) {
$errors['password'] = '密码至少8位';
}
if (!empty($errors)) {
// 返回 JSON 或渲染带错误提示的表单页
}
前端JS验证通过了，后端还用验证吗？
必须验证。前端验证能提升体验、减少无效请求，但完全不可信——用户禁用 JS、用 curl/postman 直接发请求、或用浏览器开发者工具改掉 JS 校验逻辑，都能绕过。
后端验证不是“重复劳动”，而是最后一道防线。而且前后端规则要尽量一致（比如手机号正则、密码强度要求），否则用户会困惑：“我在页面上明明按提示填的，怎么提交失败？”
容易被忽略的点：
- 时间类字段（如
start_time）前端可能传字符串"2024-05-01"，后端要用DateTime::createFromFormat()或strtotime()再校验是否合法日期，不能只看是否非空 - 数组类字段（如多选标签
tags[]）要检查是否为数组、长度是否超限、每个元素是否满足规则，$_POST['tags']可能是字符串也可能是数组，取决于提交方式 - 文件上传字段（
$_FILES）的error值必须检查，UPLOAD_ERR_OK才代表上传成功，其他值（如UPLOAD_ERR_NO_FILE）不能忽略
