表单验证需先接收数据并判断非空，再依次验证邮箱、手机格式及数据范围，结合正则与filter_var函数，最后通过htmlspecialchars和PDO预处理防御XSS与SQL注入，确保数据安全完整。
表单验证是Web开发中非常关键的一环，PHP作为服务器端语言，常用于处理表单数据并进行安全校验。合理的表单验证能防止恶意输入、提升用户体验，并保障数据的完整性与安全性。下面介绍几种常用的PHP表单验证方法，并附上实用示例。
1. 基础表单数据接收与非空验证
在处理表单前，首先要确保数据已提交，并对关键字段进行非空判断。
说明： 使用 $_POST 或 $_GET 接收数据，通过 empty() 函数判断是否为空。
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$name = trim($_POST['name']);
$email = trim($_POST['email']);
if (empty($name)) {
echo "姓名不能为空";
} elseif (empty($email)) {
echo "邮箱不能为空";
} else {
// 继续后续验证或处理
}
}
2. 邮箱格式验证
使用PHP内置函数 filter_var() 可快速验证邮箱格式是否合法。
立即学习“PHP免费学习笔记（深入）”；
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
echo "邮箱格式不正确";
}
提示： 虽然该方法能验证基本格式，但不能确认邮箱是否真实存在，仅用于前端初步过滤。
3. 手机号码验证（正则表达式）
中国手机号通常为11位，以1开头，第二位为3-9之间的数字。
$phone = $_POST['phone'];
if (!preg_match('/^1[3-9]\d{9}$/', $phone)) {
echo "手机号码格式不正确";
}
注意： 不同国家规则不同，应根据实际业务调整正则表达式。
4. 数据长度与范围校验
限制用户名长度、年龄范围等常见需求可通过字符串函数和数值比较实现。
// 用户名长度 2-20 个字符
if (strlen($name) < 2 || strlen($name) > 20) {
echo "用户名长度应在2到20之间";
}
// 年龄应在 1-120 之间
$age = (int)$_POST['age'];
if ($age < 1 || $age > 120) {
echo "请输入有效的年龄";
}
5. 防止XSS与SQL注入（安全过滤）
用户输入不可信，必须进行过滤和转义。
- 使用 htmlspecialchars() 防止XSS攻击
- 使用预处理语句（如PDO）防止SQL注入
$name = htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
// PDO预处理示例
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
6. 综合验证实例
将上述方法整合成一个完整的表单处理流程：
$errors = [];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$name = trim($_POST['name']);
$email = trim($_POST['email']);
$phone = trim($_POST['phone']);
$age = (int)$_POST['age'];
if (empty($name)) $errors[] = "姓名不能为空";
elseif (strlen($name) < 2 || strlen($name) > 20) $errors[] = "用户名长度错误";
if (empty($email)) {
$errors[] = "邮箱不能为空";
} elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors[] = "邮箱格式不正确";
}
if (!preg_match('/^1[3-9]\d{9}$/', $phone)) {
$errors[] = "手机号格式错误";
}
if ($age < 1 || $age > 120) {
$errors[] = "年龄必须在1-120之间";
}
if (empty($errors)) {
// 数据有效，执行保存操作
echo "表单提交成功！";
} else {
foreach ($errors as $error) {
echo "<p style='color:red;'>$error</p>";
}
}
}
基本上就这些。掌握这些基础方法后，你可以根据项目需求扩展验证规则，比如添加验证码、文件上传校验等。关键是保持代码清晰、安全优先，避免遗漏关键检查点。
