PHP8用戶輸入過濾指南：使用Sanitize Filters提升網站安全

M66 2025-10-24

在PHP8中使用Sanitize Filters過濾用戶輸入

在Web開發中，處理用戶輸入是確保應用安全與數據正確性的關鍵步驟。未經處理的輸入可能導致跨站腳本攻擊（XSS）、SQL注入等安全問題。 PHP8為開發者提供了功能更完善的Sanitize Filters機制，用於方便地過濾與清理用戶輸入數據。

什麼是Sanitize Filters

Sanitize Filters是PHP內置的過濾機制，用於清理輸入數據中可能存在的非法或潛在危險內容。通過不同的過濾器類型，開發者可以去除HTML標籤、轉義特殊字符、校正格式等，以防止用戶輸入中的惡意代碼被執行。

常見的過濾類型包括：

FILTER_SANITIZE_STRING：去除標籤並轉義特殊字符。
FILTER_SANITIZE_EMAIL：清理電子郵箱地址。
FILTER_SANITIZE_URL：過濾掉URL中不合法的字符。
FILTER_SANITIZE_NUMBER_INT：保留數字、加號和減號。

使用filter_var函數過濾單個變量

filter_var()是最常用的過濾函數之一，用於處理單個變量：

 $input = $_POST['username'];
$sanitized_input = filter_var($input, FILTER_SANITIZE_STRING);

該示例從$_POST中獲取名為username的輸入值，並使用FILTER_SANITIZE_STRING過濾器去除潛在的HTML標籤與特殊字符。

使用filter_input函數過濾全局輸入

如果要直接過濾來自GET 、 POST或COOKIE等全局變量的輸入，可以使用filter_input()函數：

 $sanitized_input = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

該方法更簡潔安全，避免直接訪問全局數組，有助於減少數據污染的風險。

使用filter_var_array函數批量過濾數據

當需要一次性處理多個輸入變量時，可以使用filter_var_array()函數：

 $input = array(
    'username' => $_POST['username'],
    'password' => $_POST['password']
);

$filters = array(
    'username' => FILTER_SANITIZE_STRING,
    'password' => FILTER_SANITIZE_STRING
);

$sanitized_input = filter_var_array($input, $filters);

該方法允許定義一個過濾規則數組，對多個變量進行批量處理，結果返回一個經過清理的數組，便於後續驗證與邏輯判斷。

完整實例演示

以下示例展示了一個簡易表單，提交後使用Sanitize Filters過濾用戶名和密碼：

 <?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $input = array(
        'username' => $_POST['username'],
        'password' => $_POST['password']
    );

    $filters = array(
        'username' => FILTER_SANITIZE_STRING,
        'password' => FILTER_SANITIZE_STRING
    );

    $sanitized_input = filter_var_array($input, $filters);

    echo "使用者名稱：" . $sanitized_input['username'] . "<br>";
    echo "密碼：" . $sanitized_input['password'] . "<br>";
}
?>

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
    <label>使用者名稱：</label>
    <input type="text" name="username"><br>
    <label>密碼：</label>
    <input type="password" name="password"><br>
    <input type="submit" value="提交">
</form>

在此示例中，當表單被提交時，PHP腳本會通過filter_var_array()對輸入的數據進行清理，然後輸出過濾後的結果。