使用filter_var和filter_input函数可有效验证和净化PHP用户输入，防止SQL注入与XSS攻击。首先通过FILTER_VALIDATE_EMAIL、FILTER_VALIDATE_IP等过滤器校验数据类型；其次利用FILTER_SANITIZE_STRING、FILTER_SANITIZE_URL清除危险字符；再结合filter_input从GET、POST中安全获取并即时验证参数；针对特殊格式如手机号，可配合preg_match正则匹配或FILTER_CALLBACK调用自定义函数；最后在登录、注册等场景综合运用验证、净化与加密措施，确保数据完整性与系统安全。
如果您在开发PHP应用程序时需要确保用户提交的数据安全可靠，那么对输入进行过滤和验证是必不可少的步骤。不经过处理的用户输入可能导致SQL注入、跨站脚本（XSS）等安全问题。以下是几种使用PHP内置filter_var函数及相关技术来有效过滤和验证用户输入的方法：
一、使用filter_var进行基础数据类型验证
filter_var函数能够根据指定的过滤器检查变量是否符合预期格式。这种方法适用于验证邮箱、IP地址、整数等常见数据类型。
1、验证电子邮件地址：filter_var($email, FILTER_VALIDATE_EMAIL) 可以判断输入是否为合法邮箱格式，若无效则返回false。
2、验证IP地址：filter_var($ip, FILTER_VALIDATE_IP) 能检测IPv4或IPv6地址的有效性，确保网络相关功能的安全性。
立即学习“PHP免费学习笔记（深入）”；
3、验证整数类型：filter_var($number, FILTER_VALIDATE_INT) 确保输入为纯整数值，避免字符串或其他类型干扰逻辑运算。
二、利用filter_var进行数据净化
除了验证外，filter_var还可用于清除数据中的潜在危险字符，使其更适合存储或显示。
1、去除HTML标签以防止XSS攻击：filter_var($input, FILTER_SANITIZE_STRING) 会移除或编码可能引起脚本执行的标签。
2、清理URL中的非法字符：filter_var($url, FILTER_SANITIZE_URL) 去除URL中不允许的符号，保证链接格式正确且安全。
3、过滤数字中的非数字字符：filter_var($number, FILTER_SANITIZE_NUMBER_INT) 仅保留数字和正负号，适合电话号码或编号处理。
三、结合filter_input获取并验证外部输入
直接访问$_GET或$_POST数组存在风险，filter_input提供更安全的方式来获取用户输入，并立即应用过滤规则。
1、从GET请求中获取并验证邮箱：filter_input(INPUT_GET, 'email', FILTER_VALIDATE_EMAIL) 在读取的同时完成校验。
动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包
2、从POST数据中提取整数参数：filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT) 防止恶意构造的字符串进入业务逻辑。
3、设置默认值与容错机制：当输入缺失或无效时，可通过条件判断赋予默认安全值，提升程序健壮性。
四、自定义过滤规则配合正则表达式
对于特殊格式要求（如身份证号、手机号），可结合filter_var与preg_match使用正则表达式实现精确控制。
1、定义手机号验证模式：preg_match('/^1[3-9]\d{9}$/', $phone) 确保中国大陆手机号格式正确。
2、使用FILTER_CALLBACK调用自定义函数：filter_var($value, FILTER_CALLBACK, ['options' => 'custom_validation']) 实现灵活扩展。
3、将正则验证封装成独立函数，在多个表单字段中复用，提高代码可维护性。
五、综合运用多种过滤策略保障安全性
单一方法难以应对所有场景，应根据不同上下文组合使用验证与净化措施。
1、登录表单中先用FILTER_VALIDATE_EMAIL检查邮箱，再通过哈希加密处理密码传输。
2、注册页面对用户名使用FILTER_SANITIZE_STRING去除非文本字符，同时限制长度防止数据库溢出。
3、在接收文件上传路径时，禁用任何动态解析，始终使用FILTER_SANITIZE_SPECIAL_CHARS转义特殊符号。
