异常教程

PHP FILTER_SANITIZE_STRING 过滤器（保姆级教程）

更新时间:

💡一则或许对你有用的小广告

欢迎加入小哈的星球 ，你将获得：专属的项目实战 / 1v1 提问 / Java 学习路线 / 学习打卡 / 每月赠书 / 社群讨论

截止目前， 星球 内专栏累计输出 90w+ 字，讲解图 3441+ 张，还在持续爆肝中.. 后续还会上新更多项目，目标是将 Java 领域典型的项目都整一波，如秒杀系统, 在线商城, IM 即时通讯，权限管理，Spring Cloud Alibaba 微服务等等，已有 3100+ 小伙伴加入学习 ，欢迎点击围观

在编程中，数据过滤是保障程序安全与稳定的重要步骤。当用户通过表单提交信息时，输入内容可能包含恶意代码或格式错误的字符。例如，用户可能在文本框中输入 <script>alert('恶意代码')</script>，这种情况下如果不进行过滤，直接将内容存储到数据库或展示到页面上，就可能引发跨站脚本（XSS）攻击。

PHP 的 FILTER_SANITIZE_STRING 过滤器正是为了解决这类问题而设计的工具。它能够自动删除或转换输入字符串中的特殊字符，例如 HTML 标签、PHP 标签、控制字符等，从而降低安全风险。

FILTER_SANITIZE_STRING 的核心功能

1. 过滤 HTML 标签

FILTER_SANITIZE_STRING 的主要作用是移除输入字符串中的 HTML 标签。例如，用户输入的 <p>这是一段文本</p>，经过该过滤器处理后，会变成 这是一段文本。

示例代码：

$input = "<h1>标题</h1> <script>alert('XSS')</script>";  
$sanitized = filter_var($input, FILTER_SANITIZE_STRING);  
echo $sanitized;  // 输出：标题 alert('XSS')

2. 保留文本内容

该过滤器会保留原始文本中的普通字符（如字母、数字、空格等），同时删除可能引发安全问题的特殊符号。例如，输入中的 &lt; 会被转换为 <，但最终 < 仍会被过滤掉。

对比其他过滤器：

过滤器名称功能描述
FILTER_SANITIZE_STRING移除 HTML 标签，保留纯文本
FILTER_SANITIZE_STRIPPED移除 HTML 标签并删除空白字符
FILTER_SANITIZE_ENCODED将特殊字符转义为 HTML 实体

如何正确使用 FILTER_SANITIZE_STRING？

1. 基础用法

使用 filter_var() 函数结合 FILTER_SANITIZE_STRING 过滤器即可完成基本操作：

// 示例：过滤用户提交的评论内容  
$raw_input = $_POST['comment'];  
$safe_string = filter_var($raw_input, FILTER_SANITIZE_STRING);  
// 将 $safe_string 存入数据库或输出到页面

2. 自定义过滤规则

通过 FILTER_FLAG_STRIP_HIGH 标志，可以进一步过滤掉 ASCII 码小于 32 或大于 127 的字符：

// 示例：过滤高 ASCII 字符  
$raw_input = "用户输入的文本\x01\x80";  
$safe_string = filter_var(  
    $raw_input,  
    FILTER_SANITIZE_STRING,  
    ['options' => ['flag' => FILTER_FLAG_STRIP_HIGH]]  
);  
echo $safe_string;  // 输出：用户输入的文本

常见误区与解决方案

误区 1：认为过滤器能完全保证安全

虽然 FILTER_SANITIZE_STRING 能删除 HTML 标签，但它无法防范所有攻击。例如，用户输入的 javascript:alert('恶意代码') 会被过滤为 javascript:alert('恶意代码')，但若该字符串被用作 URL 参数，仍可能触发漏洞。

解决方案：

  • 结合输入验证（如 FILTER_VALIDATE_URL）
  • 对输出内容进行二次转义（如使用 htmlspecialchars()）

误区 2：忽略过滤器的局限性

该过滤器不会移除特殊字符如引号（"）、分号（;），这些字符可能被用于 SQL 注入攻击。

解决方案：

  • 对数据库操作使用预处理语句（如 PDO 或 MySQLi）
  • 对敏感操作（如文件路径处理）进行白名单验证

实战案例：构建安全的用户评论系统

场景描述

用户提交评论时，需确保评论内容不含 HTML 标签，并且长度不超过 200 字符。

实现步骤：

  1. 过滤 HTML 标签：使用 FILTER_SANITIZE_STRING 去除所有 HTML 标签。
  2. 验证字符串长度：使用 FILTER_VALIDATE_INT 检查字符数。
  3. 存储数据：将处理后的字符串存入数据库。

完整代码示例：

// 接收用户输入  
$raw_comment = $_POST['comment'];  

// 过滤 HTML 标签并移除高 ASCII 字符  
$safe_comment = filter_var(  
    $raw_comment,  
    FILTER_SANITIZE_STRING,  
    ['options' => ['flag' => FILTER_FLAG_STRIP_HIGH]]  
);  

// 验证字符串长度  
if (mb_strlen($safe_comment) > 200) {  
    die("评论内容过长，不得超过 200 字符");  
}  

// 存储到数据库（使用预处理语句）  
$stmt = $pdo->prepare("INSERT INTO comments (content) VALUES (?)");  
$stmt->execute([$safe_comment]);  

echo "评论提交成功！";

进阶技巧：与其他过滤器的配合使用

案例 1：过滤并转义特殊字符

在展示用户输入时，即使已过滤 HTML 标签，仍需对特殊字符进行转义：

// 过滤 HTML 标签  
$safe_string = filter_var($raw_input, FILTER_SANITIZE_STRING);  
// 转义特殊字符（如单引号、双引号）  
$escaped_string = htmlspecialchars($safe_string, ENT_QUOTES, 'UTF-8');

案例 2：结合其他验证规则

在表单提交时，可同时验证邮箱格式并过滤非法字符：

// 验证邮箱格式  
$email = filter_var(  
    $_POST['email'],  
    FILTER_VALIDATE_EMAIL  
);  

// 过滤姓名字段中的 HTML 标签  
$name = filter_var(  
    $_POST['name'],  
    FILTER_SANITIZE_STRING  
);  

if (!$email || !$name) {  
    die("请输入有效的邮箱和姓名");  
}

总结：FILTER_SANITIZE_STRING 的最佳实践

通过本文的讲解，您已了解 PHP FILTER_SANITIZE_STRING 过滤器 的核心功能、使用场景以及常见问题的解决方案。以下是关键要点总结：

  1. 核心功能：过滤 HTML 标签，保留纯文本内容，但无法完全替代输入验证和安全编码实践。
  2. 使用建议：
    • 对所有用户输入内容进行过滤
    • 结合 FILTER_FLAG_STRIP_HIGH 标志增强安全性
    • 对输出内容进行二次转义（如 htmlspecialchars()）
  3. 安全警示：
    • 过滤器不能替代数据库预处理语句
    • 需结合白名单验证和格式校验

通过合理使用 FILTER_SANITIZE_STRING 过滤器，并遵循安全编码规范，您能显著降低应用程序的漏洞风险，为用户提供更可靠的服务。

关键词布局示例：

  • 在标题、小标题、代码示例和结论中自然提及“PHP FILTER_SANITIZE_STRING 过滤器”
  • 通过对比其他过滤器时，强调其独特功能
  • 在案例和解决方案中，结合具体场景说明其应用场景

最新发布

查看更多文章