如何通過filter_input() 函數結合crypt() 處理用戶輸入以提高安全性？

M66 2025-05-22

在Web 開發中，用戶輸入是最常見也是最容易被攻擊的入口。為提高用戶輸入處理的安全性，PHP 提供了許多實用函數，其中filter_input()和crypt()是兩個非常重要的安全工具。本文將介紹如何結合使用這兩個函數，有效地防止常見的攻擊手段如XSS（跨站腳本攻擊）和密碼洩露。

一、filter_input() 簡介

filter_input()是PHP 的一個內置函數，用於獲取並過濾外部輸入，例如表單中的POST 或GET 數據。通過它可以有效地對用戶提交的數據進行預處理，防止惡意數據進入應用邏輯層。例如：

 $username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

這行代碼的作用是從POST 請求中獲取username參數，並去除其中的HTML 標籤和特殊字符，防止跨站腳本攻擊。

二、crypt() 的加密能力

用戶密碼的安全存儲是開發者必須嚴肅對待的問題。 PHP 提供的crypt()函數支持多種加密算法，推薦使用的是Blowfish 算法（通過$2y$開頭的鹽值標識）。這種方式加密後的密碼難以被破解，即使數據庫洩露，攻擊者也無法輕易還原原始密碼。

示例用法：

 $salt = '$2y$10$' . substr(str_replace('+', '.', base64_encode(random_bytes(22))), 0, 22);
$hashedPassword = crypt($password, $salt);

上面代碼中， random_bytes()用於生成一個高強度的隨機字符串，確保每個用戶的密碼即使一樣，生成的密文也不同。

三、整合使用提高安全性

將filter_input()和crypt()結合使用，可以建立一個安全的數據處理流程：

首先對用戶輸入進行過濾，防止XSS 和代碼注入；
然後使用crypt()對密碼進行加密存儲，防止明文密碼洩露；
最後在數據庫中只存儲加密後的密碼和用戶名等必要信息。

這個處理流程可以有效防止一系列常見的Web 攻擊，為網站提供堅實的安全基礎。

四、驗證密碼的方法

在登錄時，只需要用crypt()將用戶提交的密碼與數據庫中加密過的密碼進行比較即可：

 $inputPassword = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);
$storedHash = '從數據庫中取出的密碼哈希值';

if (crypt($inputPassword, $storedHash) === $storedHash) {
    echo "密碼驗證通過";
} else {
    echo "密碼錯誤";
}

這種驗證方式是安全而標準的，不需要將密碼還原為明文。

五、總結

通過結合使用filter_input()和crypt() ，可以顯著提升網站對用戶輸入處理的安全性。 filter_input()負責過濾，防止惡意輸入； crypt()負責加密，防止密碼洩露。這兩個函數在構建安全的登錄系統和用戶管理系統時不可或缺。開發者應養成使用這些函數的良好習慣，為用戶和系統安全保駕護航。