本文目录导读：
- 目录导读
- 为什么需要输入净化？三大安全威胁解析
- PHP 输入净化基础：过滤与转义的区别
- 五大核心净化函数详解与对比
- 实战场景：表单、URL、JSON 数据净化方案
- 高级技巧：使用 filter_var 与自定义过滤器
- 常见陷阱：这些“净化”代码其实是漏洞
- 问答精选：开发者最常问的 5 个问题
PHP 输入净化全指南：从基础到实战，彻底防御 XSS 与 SQL 注入
目录导读
- 为什么需要输入净化？三大安全威胁解析
- PHP 输入净化基础：过滤与转义的区别
- 五大核心净化函数详解与对比
- 实战场景：表单、URL、JSON 数据净化方案
- 高级技巧：使用 filter_var 与自定义过滤器
- 常见陷阱：这些“净化”代码其实是漏洞
- 问答精选：开发者最常问的 5 个问题
为什么需要输入净化？三大安全威胁解析
PHP 作为服务器端脚本语言，几乎所有数据都来自外部：用户提交的表单、URL 参数、API 请求体、上传文件等，如果不对这些输入进行严格净化,攻击者可以轻松实施以下攻击：
- SQL 注入：通过输入
' OR 1=1 --等恶意构造的字符串，绕过数据库查询逻辑,窃取或篡改数据。 - 跨站脚本攻击（XSS）：输入
<script>alert('xss')</script>等代码，当其他用户浏览页面时，该脚本会执行，盗取 Cookie、重定向或修改页面内容。 - 命令注入：通过输入
; rm -rf /等系统命令,导致服务器被控制。
核心原则：永远不要信任任何来自客户端的输入，输入净化应当在所有数据进入服务器逻辑之前执行，同时配合输出转义（如 htmlspecialchars）形成双重防护。
PHP 输入净化基础：过滤与转义的区别
许多初学者混淆了“过滤”和“转义”，理解二者的差异是正确使用 PHP 净化功能的前提：
| 特性 | 过滤（Filter） | 转义（Escape） |
|---|---|---|
| 作用时机 | 数据进入系统之前 | 数据输出到目标环境之前 |
| 目的 | 剔除或替换不安全字符 | 让特殊字符不再被解析器解释 |
| 典型用途 | 防止 SQL 注入、文件路径遍历 | 防止 XSS、HTML 标签泄漏 |
| 常用函数 | strip_tags(), filter_var() |
htmlspecialchars(), addslashes() |
示例说明：
- 过滤：用户输入
<b>Hello</b>，使用strip_tags得到Hello。 - 转义：用户输入
I'm PHP，使用mysqli_real_escape_string得到I\'m PHP，保证 SQL 语句正确解析。
重要提醒：不要用 addslashes 作为 SQL 防御手段——它不识别字符集，可能导致宽字节注入，请始终使用预处理语句（Prepared Statements）或参数化查询。
五大核心净化函数详解与对比
以下是 PHP 开发中最常用的输入净化函数及其适用场景：
1 filter_var() —— 全能型认证过滤器
// 验证并净化邮箱 $email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL); // 验证并净化整数 $age = filter_var($_GET['age'], FILTER_SANITIZE_NUMBER_INT);
支持多种过滤器：FILTER_SANITIZE_STRING（已废弃，建议使用 htmlspecialchars）、FILTER_SANITIZE_URL、FILTER_SANITIZE_FULL_SPECIAL_CHARS 等。
2 htmlspecialchars() —— XSS 防御首选
$safe_name = htmlspecialchars($_POST['username'], ENT_QUOTES, 'UTF-8');
将 &、<、>、、 转换为 HTML 实体，适用于输出到 HTML 上下文，务必指定 UTF-8 编码防止多字节绕过。
3 strip_tags() —— 粗暴但有效的标签剥离
$content = strip_tags($_POST['description'], '<p><a>'); // 仅保留 p 和 a 标签
适用于需要保留部分富文本的场景（如评论内容），注意：它不能完全防御 XSS,因为允许的标签仍可能携带事件属性。
4 intval() / floatval() —— 数值类型强制转换
$page = intval($_GET['page']); // 将任何输入转为整数
最简单安全的净化方式，适用于数值型输入，非数字字符串变为 0。
5 trim() + 正则配合 —— 自定义清洗
$username = preg_replace('/[^A-Za-z0-9_\-]/', '', trim($_POST['username']));
用于限定输入格式（如仅允许字母数字下划线），适合用户名、标签等场景。
函数对比速查表：
| 函数 | 适用场景 | 安全等级 | 备注 |
|------|---------|---------|------|
| filter_var | 多类型验证与净化 | ⭐⭐⭐⭐⭐ | 功能最多，可自定义回调 |
| htmlspecialchars | HTML 输出防御 | ⭐⭐⭐⭐⭐ | 必须放在输出阶段 |
| strip_tags | 去除 HTML 标签 | ⭐⭐⭐ | 允许的标签仍有风险 |
| intval | 数字型输入 | ⭐⭐⭐⭐⭐ | 简单高效 |
| 正则 + preg_replace | 固定格式输入 | ⭐⭐⭐⭐ | 需谨慎编写模式 |
实战场景：表单、URL、JSON 数据净化方案
用户注册表单
// 接收 POST 数据
$raw_username = $_POST['username'] ?? '';
$raw_email = $_POST['email'] ?? '';
$raw_password = $_POST['password'] ?? '';
// 净化流程
$username = trim(htmlspecialchars($raw_username, ENT_QUOTES, 'UTF-8'));
$email = filter_var($raw_email, FILTER_SANITIZE_EMAIL);
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
die('Email 格式无效');
}
// 密码不应净化，但必须用 bcrypt 哈希
$hashed_password = password_hash($raw_password, PASSWORD_BCRYPT);
// 使用预处理语句写入数据库
$stmt = $pdo->prepare('INSERT INTO users (username, email, password) VALUES (?, ?, ?)');
$stmt->execute([$username, $email, $hashed_password]);
URL 查询参数
// 接收搜索关键词
$keyword = trim($_GET['q'] ?? '');
// 移除危险字符，限制长度
$safe_keyword = mb_substr(preg_replace('/[^a-zA-Z0-9\s\x{4e00}-\x{9fa5}]/u', '', $keyword), 0, 50);
// 输出到页面
echo htmlspecialchars($safe_keyword, ENT_QUOTES, 'UTF-8');
JSON API 输入
$json_input = file_get_contents('php://input');
$data = json_decode($json_input, true);
if (json_last_error() !== JSON_ERROR_NONE) {
http_response_code(400);
die('Invalid JSON');
}
// 对每个字段单独净化
$name = htmlspecialchars($data['name'] ?? '', ENT_QUOTES, 'UTF-8');
$age = intval($data['age'] ?? 0);
// 注意：JSON 中的 HTML 标签也可能需要过滤
高级技巧：使用 filter_var 与自定义过滤器
1 组合过滤器实现深度净化
function sanitize_input($input, $type = 'string') {
switch ($type) {
case 'email':
return filter_var($input, FILTER_SANITIZE_EMAIL);
case 'url':
return filter_var($input, FILTER_SANITIZE_URL);
case 'int':
return filter_var($input, FILTER_SANITIZE_NUMBER_INT);
case 'float':
return filter_var($input, FILTER_SANITIZE_NUMBER_FLOAT,
['flags' => FILTER_FLAG_ALLOW_FRACTION]);
case 'encoded':
return filter_var($input, FILTER_SANITIZE_ENCODED);
case 'special_chars':
return filter_var($input, FILTER_SANITIZE_FULL_SPECIAL_CHARS,
['options' => ['flags' => ENT_QUOTES, 'encoding' => 'UTF-8']]);
default:
return htmlspecialchars(trim($input), ENT_QUOTES, 'UTF-8');
}
}
// 使用
$clean_email = sanitize_input($_POST['email'], 'email');
2 自定义回调过滤器
// 过滤掉所有不可见控制字符（ASCII 0-31 除换行制表符）
$filtered = filter_var($_POST['bio'], FILTER_CALLBACK, [
'options' => function($value) {
return preg_replace('/[\x00-\x08\x0B\x0C\x0E-\x1F]/', '', $value);
}
]);
3 利用 filter_has_var 预判输入存在性
if (filter_has_var(INPUT_POST, 'username')) {
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
} else {
$username = '';
}
filter_input 直接从输入源获取并净化一步到位，但注意 FILTER_SANITIZE_STRING 在 PHP 8.1 已废弃，建议改用 FILTER_SANITIZE_FULL_SPECIAL_CHARS。
常见陷阱：这些“净化”代码其实是漏洞
过度依赖 strip_tags 防御 XSS
// 错误示例 echo strip_tags($_POST['comment']); // 仍可传入 <img src=x onerror=alert(1)> // 正确做法：配合 htmlspecialchars 或只允许安全的标签+属性白名单
使用 addslashes 代替预处理语句
// 危险：宽字节注入绕过 $name = addslashes($_POST['name']); $sql = "SELECT * FROM users WHERE name='$name'"; // 正确：使用 PDO 或 MySQLi 预处理
对密码进行过滤或截断
// 错误：strip_tags 会改变密码内容 $password = strip_tags($_POST['password']); // 正确：密码应原样哈希，不做任何过滤 $hash = password_hash($_POST['password'], PASSWORD_DEFAULT);
忘记对 JSON 或 XML 输入进行验证
// 错误：直接信任解码后的数据 $data = json_decode($_POST['json']); echo $data->comment; // 可能包含恶意脚本 // 正确：对每个输出字段做 htmlspecialchars
问答精选：开发者最常问的 5 个问题
Q1: 是否应该对所有输入使用 htmlspecialchars？
A: 不对。htmlspecialchars 适用于输出到 HTML 上下文之前，而非存储时，例如存储到数据库时，若使用 HTML 实体编码，后续搜索、排序都会受影响，最佳实践：存储原始数据,输出时转义。
Q2: filter_var 的 FILTER_SANITIZE_STRING 为什么被废弃？
A: 因为它行为模糊：它去除标签但无法彻底防御 XSS，且不同 PHP 版本表现不一致，PHP 8.1 后建议直接使用 htmlspecialchars 或自定义过滤器。
Q3: 如何净化富文本编辑器内容（如 TinyMCE）？
A: 不要信任任何富文本输出，推荐使用 HTML 净化库如 HTMLPurifier（示例 require_once 'htmlpurifier/HTMLPurifier.auto.php';），它能根据白名单过滤标签、属性、样式。
Q4: 文件上传如何净化？
A: 检查 $_FILES['file']['type']（但可伪造），使用 finfo 函数检测真实 MIME 类型，限制文件扩展名白名单，并用 move_uploaded_file 移动到非 web 可访问目录,后续输出时不要直接显示文件内容。
Q5: 对于 API 开发，应该如何处理输入？
A: 使用 JSON Schema 验证请求体（如 justinrainbow/json-schema 库），对每个字段根据类型严格过滤，避免使用 extract() 函数展开数组,返回错误码时不要暴露内部变量名。
通过以上系统化的 PHP 输入净化策略，你可以构建出能抵抗 OWASP Top 10 中多数注入攻击的应用程序。输入净化 + 输出转义 + 预处理语句 是 PHP 安全的三驾马车，缺一不可，务必在项目的每一个输入点套用标准净化流程，并配合完善的日志监控,才能做到真正的防患于未然。
