如何使用PHP函數檢測和過濾用戶輸入？

M66 2025-06-07

如何使用PHP函數檢測和過濾用戶輸入？

在開發網站或應用程序時，用戶輸入的數據是不可避免的。然而，未經處理的輸入可能包含惡意腳本或特殊字符，給網站安全帶來威脅。為了保障數據安全，必須使用合適的PHP函數對用戶輸入進行檢測和過濾。

1. 檢測用戶輸入的合法性

在處理用戶數據前，先判斷輸入是否存在且符合預期格式。常用的檢測函數包括：

isset() ：檢測變量是否已設置且非空。
empty() ：檢測變量是否為空。常結合trim()去除前後空格後使用。
is_numeric() ：判斷變量是否為數字。

示例代碼：

 if (isset($_POST['username']) && !empty(trim($_POST['username']))) {
    $username = $_POST['username'];
    // 用戶名存在且非空，繼續處理
} else {
    // 用戶名為空，提示錯誤
}
<p>if (isset($_POST['age']) && is_numeric($_POST['age'])) {<br>
$age = $_POST['age'];<br>
// 年齡為數字，繼續處理<br>
} else {<br>
// 年齡為空或格式錯誤，提示錯誤<br>
}

2. 過濾用戶輸入防止惡意攻擊

僅檢測不夠，還需過濾用戶輸入，防止跨站腳本（XSS）及其它攻擊。常用過濾函數有：

htmlspecialchars() ：轉義特殊字符，如< 、 > 、 &等，防止HTML標籤被解析。
strip_tags() ：剝除字符串中的HTML和PHP標籤。
filter_var() ：結合內置過濾器對數據進行驗證和過濾，如郵箱格式驗證。

示例代碼：

 $username = htmlspecialchars($_POST['username']); // 轉義特殊字符
$bio = strip_tags($_POST['bio']); // 去除HTML和PHP標籤
$email = $_POST['email'];
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // 郵箱格式正確，繼續處理
} else {
    // 郵箱格式不正確，提示錯誤
}

3. 安全處理數據庫查詢

用戶輸入數據用於數據庫查詢時，必須防止SQL注入攻擊。推薦使用預處理語句和綁定參數：

 // 假設已連接數據庫
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bindParam(1, $username, PDO::PARAM_STR);
$stmt->execute();

通過預處理語句，用戶輸入不會直接嵌入SQL語句，從而避免注入風險。

總結

用戶輸入不可完全信任，開發中必須使用PHP提供的檢測和過濾函數來保障數據安全。合理檢測輸入合法性，過濾惡意字符，結合安全的數據庫操作方式，能夠有效提升網站安全性，保護用戶隱私與數據安全。