http_build_query 与 filter_input 结合，生成符合安全要求的查询字符串

---

在 PHP 开发中，构建 URL 查询字符串是一项非常常见的任务。http_build_query() 是一个强大的工具，可以快速地将数组转换为 URL 编码的查询字符串。但在实际应用中，我们通常需要从用户输入中获取参数，为了安全地处理这些输入，filter_input() 是一个不可或缺的函数。将两者结合使用，可以在保证效率的同时，大幅提升安全性，防止 XSS 和注入等问题。

1. http_build_query() 简介

http_build_query() 接收一个数组，并将其转换为符合 RFC 3986 编码格式的 URL 查询字符串。例如：

<code> $params = [ 'search' => 'php', 'page' => 2 ];

$queryString = http_build_query($params);
// 输出: search=php&page=2
</code>

该函数非常适合拼接查询字符串，配合路径使用可以快速构造跳转链接：

<code> $url = 'https://m66.net/search.php?' . $queryString; </code>

2. filter_input() 的作用

在处理用户输入时，不能直接使用 $_GET 或 $_POST，因为未经过滤的输入可能携带恶意内容。filter_input() 提供了一个标准的接口来获取并过滤输入数据：

<code> $search = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_STRING); $page = filter_input(INPUT_GET, 'page', FILTER_VALIDATE_INT); </code>

上述代码中，search 参数被清洗为纯文本，page 参数则被验证为整数。

3. 将两者结合使用

假设我们想基于用户输入构造一个重定向链接。我们希望从 URL 中提取参数，验证和清洗后，再拼接为安全的查询字符串。这时，我们可以这样做：

<code> $params = [];

$search = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_STRING);
if ($search !== null && $search !== false) {
$params['search'] = $search;
}

$page = filter_input(INPUT_GET, 'page', FILTER_VALIDATE_INT);
if ($page !== null && $page !== false) {
$params['page'] = $page;
}

$queryString = http_build_query($params);

$redirectUrl = 'https://m66.net/results.php?' . $queryString;

// 执行重定向（示例，不要在实际生产环境中未验证直接跳转）
header('Location: ' . $redirectUrl);
exit;
</code>

通过这种方式，我们确保只有合法、安全的参数才会被拼接进 URL 中。

4. 防御 XSS 与注入攻击

用户输入的不可信内容可能包含恶意脚本，例如 <script>alert(1)</script>。通过 filter_input() 结合 FILTER_SANITIZE_STRING、FILTER_VALIDATE_* 系列，我们可以过滤掉潜在的危险字符或拒绝不符合预期的数据类型，从而防止这些攻击的发生。

此外，通过只将验证后的参数传递给 http_build_query()，进一步降低了注入风险。

5. 小结

使用 http_build_query() 构造查询字符串虽然便捷，但前提必须是参数已被充分验证。将其与 filter_input() 结合，不仅可以提升代码质量，还可以有效提高 Web 应用的安全性。特别是在需要拼接用户输入生成链接时，这种组合方式应成为开发者的标准实践。