本文已使用 Google Cloud Translation API 自动翻译。
某些文档最好以原文阅读。
作为应用程序开发人员，您有责任确保用户输入的数据有效且安全。这可能是一项艰巨的任务，因为用户可以通过多种方式输入无效数据，并且需要考虑许多安全风险。在本文中，我们将讨论验证用户数据的一些最佳实践，并提供一些 PHP 代码示例。
验证用户输入的第一步是确保数据是干净的或“经过净化的”。这意味着删除任何可用于将恶意代码注入您的应用程序的特殊字符。例如，如果您希望用户输入他们的姓名，您可能希望删除所有非字母的字符，例如数字、标点符号或空格。
清理用户输入的一种方法是使用 PHP 函数``filter_var()。此函数有两个参数：要过滤的值和要应用的过滤器。例如，要过滤名称字段，您可以使用 FILTER_SANITIZE_STRING``` 过滤器，它会删除任何标签或特殊字符。
$name = "John Smith";
$sanitized_name = filter_var($name, FILTER_SANITIZE_STRING);
echo $sanitized_name; // John Smith
重要的是要注意filter_var() 不会验证数据，它只会清理数据。这意味着如果用户输入了一个无效的名称，例如“123456”，filter_var() 函数将返回仍然无效的“123456”。
清理用户输入后，您可以对其进行验证以确保其格式正确。例如，如果您需要一个名称字段，您会希望确保数据是按字母顺序排列的。
验证用户输入的一种方法是使用 PHP 函数 ``filter_var()和FILTER_VALIDATE_*过滤器。这些过滤器根据指定的格式验证数据。例如，要验证名称字段，您可以使用FILTER_VALIDATE_REGEXP``` 过滤器，以及只允许字母字符的正则表达式。
$name = "John Smith";
$validated_name = filter_var($name, FILTER_VALIDATE_REGEXP, array("options"=>array("regexp"=>"/^[a-zA-Z]+$/")));
if($validated_name === false) {
echo "Invalid name";
} else {
echo "Valid name";
}
如果数据有效，filter_var() 将返回数据。如果数据无效，filter_var() 将返回false。
在验证用户输入时，考虑安全风险很重要。例如，如果您需要一个电子邮件地址，您会希望确保数据采用有效的电子邮件格式。但是，您还希望确保电子邮件地址不包含任何恶意代码。
在考虑安全风险的同时验证用户输入的一种方法是使用 PHP 函数filter_var()，以及FILTER_SANITIZE_EMAIL 和FILTER_VALIDATE_EMAIL 过滤器。 FILTER_SANITIZE_EMAIL 过滤器将从数据中删除任何无效字符，FILTER_VALIDATE_EMAIL 过滤器将根据电子邮件格式验证数据。
$email = "john.smith@example.com";
$sanitized_email = filter_var($email, FILTER_SANITIZE_EMAIL);
$validated_email = filter_var($sanitized_email, FILTER_VALIDATE_EMAIL);
if($validated_email === false) {
echo "Invalid email";
} else {
echo "Valid email";
}
验证用户输入是确保应用程序安全的关键部分。通过清理和验证用户数据，您可以帮助保护您的应用程序免受恶意代码注入和其他安全风险。