PHP接口中应优先用filter_var()做基础校验，选用FILTER_VALIDATE_*类过滤器验证邮箱、整数等；多字段校验用filter_input_array()批量处理并统一收错；验证后须使用过滤返回值而非原始$_POST；复杂规则（如手机号、密码强度）封装为独立函数补全。
PHP接口里怎么用filter_var()做基础校验
直接用filter_var()比手写正则快，也更安全。它内置了邮箱、URL、整数、浮点等常用规则，不需要引入额外库，适合轻量接口的字段初筛。
常见错误是传错FILTER_SANITIZE_*和FILTER_VALIDATE_*——前者是清洗（比如去掉空格），后者才是验证（返回false表示不合法）。接口里该用验证类过滤器。
-
filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)返回false就说明邮箱格式不对 - 整数校验别只用
is_numeric()，它会把"123abc"也判为真；改用filter_var($val, FILTER_VALIDATE_INT) - 如果字段可为空，先用
isset()或array_key_exists()判断键是否存在，再校验，避免Notice: Undefined index
怎么统一处理多个参数并收集所有错误
单个filter_var()只能返回一个结果，但接口通常要一次性校验多个字段。手动一个个写太散，容易漏掉返回值判断。推荐用filter_input_array()配合预定义规则数组。
它能一次读取$_GET或$_POST，按规则批量过滤，并保留null或false标识失败项，比循环调用更可控。
立即学习“PHP免费学习笔记（深入）”；
- 规则数组里每个字段对应一个
FILTER_*常量，比如'age' => FILTER_VALIDATE_INT - 加上
'options' => ['min_range' => 1, 'max_range' => 120]可以限制整数范围 - 注意：默认不校验字段是否存在，需手动检查返回数组中是否有
null或false值 - 示例：
$data = filter_input_array(INPUT_POST, $rules); if ($data === false || in_array(false, $data, true)) { /* 有字段失败 */ }
为什么不要在验证后直接用$_POST里的原始值
很多开发者校验完就继续用$_POST['username']，但校验和使用之间可能有其他逻辑修改了这个变量，或者没做类型转换——比如filter_var('123', FILTER_VALIDATE_INT)返回的是int(123)，但$_POST['age']还是字符串"123"，后续做数值比较（如>= 18）可能出隐式转换问题。
- 校验通过后，应以过滤后的值为准，而不是回读
$_POST - 如果用
filter_input_array()，直接用返回数组里的值，它已经转好类型 - 字符串类字段建议加
FILTER_SANITIZE_STRING（PHP 8.1+ 已废弃，改用FILTER_SANITIZE_SPECIAL_CHARS或htmlspecialchars()）防XSS，但注意它不验证长度，超长内容仍需单独判断
遇到复杂规则（如手机号、密码强度）怎么办
filter_var()覆盖不了自定义逻辑，比如“手机号必须是11位且以1开头”或“密码需含大小写字母+数字”。这时候得补正则或函数，但别混在校验主流程里破坏一致性。
- 把复杂规则封装成独立函数，比如
validate_phone($str)，内部用preg_match('/^1[3-9]\d{9}$/', $str) - 和
filter_input_array()结果合并判断：先跑基础过滤，再对特定字段调用自定义函数 - 避免在正则里写死中文提示，错误信息统一由接口层组装返回，方便多语言或前端解析
- 密码强度校验别只看字符种类，还要检查是否在常见弱口令列表里（如
123456、password），可用in_array(strtolower($pwd), $weak_list)快速拦截
真正难的不是写验证逻辑，而是决定哪些字段必须校验、哪些允许宽松、错误时要不要中断整个请求。比如用户注册接口里邮箱格式错就该停，但昵称含emoji可能只是警告。这些边界得结合业务定，代码只是执行者。
