上一篇
PHP字符安全过滤函数有哪些？如何正确使用防XSS？
PHP中字符安全过滤函数使用小结
在Web应用开发中，安全始终是重中之重，而字符安全过滤则是防御各类攻破的第一道防线，PHP作为广泛使用的服务器端脚本语言，提供了多种内置函数和扩展来帮助开发者对用户输入进行安全处理，有效防范SQL载入、XSS跨站脚本、命令载入等常见安全威胁,本文将详细归纳PHP中常用的字符安全过滤函数及其使用场景。
核心过滤函数
-
htmlspecialchars()函数
该函数将预定义的字符转换为HTML实体，是防御XSS攻破的基础工具，预定义字符包括&（&）、”（"）、’（'）、<（<）、>（>），使用时需注意设置ENT_QUOTES参数以同时转换单引号和双引号，htmlspecialchars($input, ENT_QUOTES, ‘UTF8’)，对于非UTF8编码的字符串，需确保指定正确的字符编码,避免乱码导致过滤失效。
-
strip_tags()函数
用于剥离字符串中的HTML和PHP标签，适用于需要纯文本内容的场景，该函数接受第二个参数允许保留特定标签，如strip_tags($input, ‘
‘)，但需注意，该函数仅移除标签本身，标签内的恶意内容（如onload事件）仍可能存在,需配合其他过滤函数使用。
-
addslashes()与stripslashes()函数
addslashes()对特定字符（单引号、双引号、反斜杠、NULL）添加反斜杠进行转义，主要用于防止SQL载入，但在使用PHP的PDO或MySQLi预处理语句时，应优先使用参数化查询而非addslashes()，stripslashes()则用于还原被addslashes()处理过的字符串,通常在显示数据前使用。
-
filter_var()函数
PHP的Filter扩展提供了强大的数据过滤功能，filter_var()是核心函数，通过不同过滤器可实现多样化过滤：FILTER_SANITIZE_EMAIL过滤非法邮件字符，FILTER_VALIDATE_EMAIL验证邮箱格式；FILTER_SANITIZE_URL过滤非法URL字符；FILTER_VALIDATE_INT验证整数并设置范围；FILTER_SANITIZE_STRING（已废弃，建议使用htmlspecialchars替代）等，filter_var($email, FILTER_VALIDATE_EMAIL)。
-
preg_replace()与正则表达式
对于复杂过滤规则，可使用正则表达式实现精确控制，例如过滤非数字字符：preg_replace(‘/[^09]/’, ”, $input)，但需注意正则表达式性能问题，避免使用 catastrophic backtracking 模式，对于HTML标签过滤，可使用：<.*?>匹配简单标签，但需结合strip_tags()使用更安全。
-
参数化查询
使用PDO或MySQLi预处理语句从根本上防止SQL载入，$stmt = $pdo>prepare(“SELECT * FROM users WHERE id = :id”); $stmt>bindParam(‘:id’, $id)，此时无需对输入进行特殊转义，数据库驱动会自动处理。
安全策略（CSP）
通过设置HTTP头ContentSecurityPolicy限制资源加载来源，如：header(“ContentSecurityPolicy: defaultsrc ‘self'”),可有效缓解XSS攻破影响。
-
输出编码上下文化
根据输出位置选择合适的编码方式：HTML属性使用htmlspecialchars($input, ENT_QUOTES)；JavaScript变量使用json_encode($input)；CSS属性使用str_replace(array(‘#’, ‘(‘, ‘)’, ‘/’, ‘:’), ”, $input)。
- 始终对用户输入进行验证和过滤，遵循”白名单”原则,明确允许的字符范围而非禁止危险字符。
- 采用”防御纵深”策略，结合输入验证、输出编码、参数化查询等多层防护。
- 定期更新PHP版本和安全补丁,利用最新版本的过滤函数和安全特性。
- 对敏感操作（如文件上传、命令执行）进行额外检查，如禁用危险函数、限制文件类型等。
进阶安全措施
常见过滤场景对比
| 场景 | 推荐函数 | 示例代码 | 注意事项 |
|---|---|---|---|
| 显示用户输入到HTML | htmlspecialchars | echo htmlspecialchars($userInput, ENT_QUOTES, ‘UTF8’) | 确保编码正确，设置ENT_QUOTES |
| 剥离HTML标签获取纯文本 | strip_tags | echo strip_tags($userInput, ‘ | 仅移除标签，不处理内容 |
| 验证邮箱格式 | filter_var | if(filter_var($email, FILTER_VALIDATE_EMAIL)) | 仅验证格式，不检查是否存在 |
| 防止SQL载入（旧代码） | addslashes | $safeInput = addslashes($input) | 已不推荐，应使用预处理语句 |
| 过滤特殊字符 | preg_replace | $cleanInput = preg_replace(‘/[^ws]/’, ”, $input) | 性能需测试，避免复杂正则 |
最佳实践建议
相关问答FAQs
问题1：为什么使用PDO预处理语句后仍需过滤输入？
解答：PDO预处理语句主要防止SQL载入，但无法防御XSS攻破等安全威胁，用户输入的恶意JavaScript代码仍可能在输出时执行，即使使用预处理语句，也必须根据输出场景进行相应的HTML实体编码或其他过滤操作,确保数据在不同上下文中的安全性。
问题2：在什么情况下应该使用strip_tags()而不是htmlspecialchars()？
解答：strip_tags()适用于需要完全移除HTML标签的场景，如显示用户评论的纯文本摘要、生成搜索索引文本等，而htmlspecialchars()适用于保留HTML标签结构但需要转义特殊字符的场景，如允许用户输入带格式的文本但防止XSS攻破，选择时应根据业务需求决定是否需要保留HTML结构，若需保留则必须使用htmlspecialchars()进行安全转义。
