最常用且更安全的是 filter_var()；isset() 和 empty() 仅用于判断存在性与空值，无法防止类型伪造，而 filter_var() 可严格校验邮箱、整数等格式，并需配合 trim() 预处理。
PHP后端校验最常用的是 filter_var() 还是 isset() + empty()？
直接用 filter_var() 做基础类型校验（比如邮箱、URL、整数）更安全；isset() 和 empty() 只适合判断变量是否存在或是否为空，不能防类型伪造。比如用户传 "123abc" 给年龄字段，empty() 会放过它，但 filter_var($age, FILTER_VALIDATE_INT) 会返回 false。
常见错误：只检查 $_POST['email'] 是否存在，不验证格式，导致后续数据库写入失败或 SQL 注入风险（尤其拼接查询时）。
-
filter_var($email, FILTER_VALIDATE_EMAIL)返回false表示非法邮箱，不是空字符串 - 对数字类字段（如
id、price），优先用FILTER_VALIDATE_INT或FILTER_VALIDATE_FLOAT，别用(int)强转——它会把"123abc"变成123，静默丢数据 - 校验前先用
trim()去首尾空格，否则" test@example.com "会被FILTER_VALIDATE_EMAIL拒绝
怎么用 PHP 写一个带错误提示的表单校验逻辑？
别把所有校验塞进一个 if 块里。应该逐字段校验，收集错误到数组，最后统一返回或渲染。这样用户能一次看到所有问题，而不是提交一次只报一个错。
示例场景：注册表单含 username（非空、长度 3–16）、email（合法邮箱）、password（至少 8 位）：
立即学习“PHP免费学习笔记（深入）”；
$errors = [];
$username = trim($_POST['username'] ?? '');
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
if (!$username) {
$errors['username'] = '用户名不能为空';
} elseif (strlen($username) < 3 || strlen($username) > 16) {
$errors['username'] = '用户名长度需为 3–16 个字符';
}
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors['email'] = '邮箱格式不正确';
}
if (strlen($password) < 8) {
$errors['password'] = '密码至少 8 位';
}
if (!empty($errors)) {
// 返回 JSON 或重新渲染表单并显示 $errors
}
注意：$_POST['username'] ?? '' 防止未定义索引警告；trim() 必须在 filter_var() 前调用；错误键名（如 'username'）要和表单字段名一致，方便前端定位。
为什么不能只靠前端 JavaScript 校验？
因为 JS 校验可以被绕过——禁用 JS、用 curl 直接 POST、改浏览器开发者工具里的表单值，都能跳过。后端校验是最后一道防线，不是可选项。
典型翻车场景：
- 前端限制手机号输入 11 位，后端没校验，攻击者发
curl -d "phone=1381234567890123456789"导致数据库字段溢出或注入 - 前端用正则校验密码强度，后端直接存
$_POST['password']，结果存了空字符串或超长乱码 - 忘记对
$_FILES的tmp_name做合法性检查，导致上传恶意文件路径
只要数据来自用户（$_GET、$_POST、$_FILES、$_COOKIE），就必须在服务端重新校验，且校验逻辑要和前端提示一致（比如都要求邮箱小写），避免用户困惑。
复杂字段（如多选、JSON 数据）怎么校验？
多选框（<input type="checkbox" name="tags[]">）提交后是数组，得用 is_array() + array_filter() 清洗，再逐项校验；JSON 字段（如配置项）必须用 json_decode($input, true) 并检查 json_last_error() === JSON_ERROR_NONE。
示例：校验 tags[] 是非空字符串数组，且每项长度 ≤20：
$tags = $_POST['tags'] ?? [];
if (!is_array($tags)) {
$errors['tags'] = '标签格式错误';
} else {
$clean_tags = array_filter(array_map('trim', $tags), 'strlen');
foreach ($clean_tags as $tag) {
if (strlen($tag) > 20) {
$errors['tags'] = '每个标签不能超过 20 字符';
break;
}
}
if (empty($clean_tags)) {
$errors['tags'] = '至少选择一个标签';
}
}
关键点：array_map('trim', $tags) 先清洗，array_filter(..., 'strlen') 去掉空值，再检查内容。别直接对原始 $_POST['tags'] 用 count()——用户可能全选空字符串。
真正容易被忽略的，是校验后的数据必须用清洗后的变量（如 $clean_tags），而不是原始 $_POST。否则你校了一堆，最后入库/渲染的还是脏数据。
