使用filter_var验证数据、htmlspecialchars转义输出、预处理语句防SQL注入、限制输入长度与类型、正则匹配自定义格式，全面保障PHP用户输入安全。
当用户向Web应用程序提交数据时，这些输入可能包含恶意内容，如脚本代码或SQL注入语句。为防止安全漏洞，必须对用户输入进行正确格式化和清理。以下是保障PHP应用安全处理用户输入的操作指南：
一、使用filter_var函数过滤输入
filter_var函数可用于验证和清理来自用户的数据，确保其符合预期格式。该方法适用于邮箱、URL、整数等标准数据类型。
1、使用FILTER_VALIDATE_EMAIL验证电子邮件格式：
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
2、若验证失败，返回值为false，应拒绝该输入：
if (!$email) { die("无效的邮箱地址"); }
立即学习“PHP免费学习笔记（深入）”；
3、对于整数输入，使用FILTER_VALIDATE_INT进行校验：
$age = filter_var($_POST['age'], FILTER_VALIDATE_INT, ["options" => ["min_range" => 1, "max_range" => 120]]);
二、通过htmlspecialchars转义特殊字符
当需要将用户输入显示在页面上时，必须将HTML特殊字符转换为实体形式，以防止跨站脚本攻击（XSS）。
1、使用htmlspecialchars函数处理输出数据：
$output = htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');
2、确保设置ENT_QUOTES标志，以便同时转义单引号和双引号：
这能有效阻止JavaScript通过属性注入执行。
3、输出时仅使用已转义变量：
echo "用户评论：" . $output;
三、使用预处理语句防止SQL注入
直接拼接SQL查询字符串极易导致数据库被攻击。使用PDO或MySQLi的预处理机制可分离SQL逻辑与数据。
1、建立PDO连接并启用错误模式：
$pdo = new PDO($dsn, $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]);
2、编写预处理SQL语句，使用占位符代替变量：
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
3、执行时绑定用户输入值：
$stmt->execute([$_POST['email']]);
4、也可使用命名参数提升可读性：
$stmt = $pdo->prepare("UPDATE profile SET name = :name WHERE id = :id");
$stmt->execute([':name' => $name, ':id' => $userId]);
四、限制输入长度与类型检查
设定合理的输入边界有助于排除异常数据，减少潜在威胁。
1、使用is_string、is_numeric等函数确认数据类型：
if (!is_string($_POST['username']) || !is_numeric($_POST['phone'])) { die("数据类型错误"); }
2、通过strlen或mb_strlen控制字符串长度：
if (strlen($_POST['username']) > 50) { die("用户名过长"); }
3、对文件上传类输入，严格限制扩展名与大小：
if ($_FILES['avatar']['size'] > 2097152) { die("文件不得超过2MB"); }
五、利用正则表达式进行模式匹配
对于自定义格式要求（如电话号码、身份证号），可借助preg_match进行精确验证。
1、定义合法字符范围与结构模式：
$pattern = '/^[\x{4e00}-\x{9fa5}a-zA-Z\s]{2,20}$/u'; // 中英文姓名
2、执行匹配并判断结果：
if (!preg_match($pattern, $_POST['name'])) { die("姓名格式不合法"); }
3、避免使用过于宽松的正则，防止绕过检测：
不要使用.*等无限制通配符接收关键字段。
