PHP 8.1 接口数据清洗核心是通过 DTO+枚举实现类型安全、只读、面向请求的可信转化，分验证→净化→标准化三步，结合联合类型、Nullsafe、strict_types 等特性提升健壮性与安全性。
PHP 8.1 接口实现数据清洗，核心是把清洗逻辑封装成可复用、类型安全、面向请求的函数或方法，同时充分利用 PHP 8.1 的新特性（如联合类型、枚举、只读类、Nullsafe 运算符）提升健壮性和可维护性。重点不在“写个接口”，而在于让接口接收的数据在进入业务层前就完成可信转化。
定义清晰的清洗契约：使用 DTO + 枚举约束字段语义
避免直接操作 $_POST 或 JSON 解析后的数组。推荐用只读数据传输对象（DTO）配合枚举明确字段含义和清洗规则：
- 用 enum 定义字段类型（如 Status::Active、Role::Admin），替代字符串硬编码，天然防非法值
- DTO 属性声明为 readonly，强制构造时清洗，禁止后续篡改
- 构造方法内调用清洗逻辑，例如：trim() 去空格、filter_var(..., FILTER_VALIDATE_EMAIL) 验证邮箱、intval() 转整型并校验范围
分层清洗：验证 → 净化 → 标准化
一个接口请求通常需三步处理：
- 验证（Validate）：用 filter_var() 或自定义规则判断是否合法（如手机号正则、日期格式是否匹配 DateTime::createFromFormat）
- 净化（Sanitize）：去除潜在风险内容，如用 htmlspecialchars($str, ENT_QUOTES, 'UTF-8') 防 XSS；对数据库字段用 filter_var($str, FILTER_SANITIZE_FULL_SPECIAL_CHARS)（注意：FILTER_SANITIZE_STRING 已废弃）
- 标准化（Normalize）：统一格式，如电话号转 E.164（+8613812345678）、邮箱转小写、时间戳转 DateTimeImmutable 对象
利用 PHP 8.1 特性提升安全性与可读性
这些不是炫技，而是解决老版本中易忽略的坑：
立即学习“PHP免费学习笔记（深入）”；
- 用联合类型（string|int|null）声明参数，配合 is_string() 等显式判断，避免隐式转换导致的逻辑错误
- 对可能为 null 的输入，用Nullsafe 运算符（?->）链式调用，如 $request->getInput()?->trim()?->toLowerCase()，不抛 Notice
- 启用 strict_types=1，杜绝 float 被静默转 int 等类型陷阱
- 对敏感字段（如密码、token），清洗后立即用 hash_equals() 比对，防止时序攻击
接口层集成示例（精简版）
假设一个用户注册接口：
- 接收 JSON，Content-Type: application/json
- 用 json_decode(file_get_contents('php://input'), true) 获取原始数据
- 传入自定义 UserRegistrationRequest DTO 构造器，内部完成全部清洗
- 若任一字段清洗失败（如邮箱无效、年龄非数字），抛出 InvalidArgumentException 并返回 400，不进业务逻辑
