掌握filter_var、htmlspecialchars和预处理语句可有效防范常见安全风险：1. 用filter_var验证邮箱、URL及过滤非法字符；2. 用htmlspecialchars转义特殊字符防XSS；3. 使用PDO预处理防止SQL注入；4. 文件上传时重命名、限扩展名、禁用户路径，确保数据安全。
在Web开发中，PHP作为常用的服务器端语言，处理用户输入是日常开发的核心环节。不恰当的数据处理可能导致安全漏洞，如SQL注入、XSS攻击、命令执行等。因此，合理使用PHP内置函数进行数据过滤与安全处理至关重要。下面介绍几种实用的PHP输入过滤技巧和常用函数。
1. 使用 filter_var 进行基础数据验证
filter_var() 是PHP提供的强大过滤函数，可用于验证和清理多种类型的数据。它支持多种过滤器，适合处理表单输入。
常见用法包括：
- 验证邮箱：filter_var($email, FILTER_VALIDATE_EMAIL)，合法返回邮箱字符串，否则返回 false
- 验证URL：filter_var($url, FILTER_VALIDATE_URL)
- 过滤数字（去除非法字符）：filter_var($num, FILTER_SANITIZE_NUMBER_INT)
- 过滤HTML标签：filter_var($input, FILTER_SANITIZE_STRING)（注意：PHP 8.1+ 已弃用，建议改用 htmlspecialchars）
2. 处理HTML输出：防止XSS攻击
用户输入若包含脚本代码，在未转义的情况下直接输出到页面，可能引发跨站脚本（XSS）攻击。应使用 htmlspecialchars() 将特殊字符转换为HTML实体。
立即学习“PHP免费学习笔记（深入）”；
$output = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');这样可确保 、&、"、' 等字符不会被浏览器解析为代码。若需允许部分HTML标签，可结合 HTML Purifier 等第三方库进行白名单过滤。
3. 数据库操作：使用预处理语句
直接拼接SQL语句极易导致SQL注入。推荐使用 PDO 或 MySQLi 的预处理机制，将用户数据作为参数绑定，避免恶意代码执行。
示例（PDO）：
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");$stmt->execute([$email]);
$user = $stmt->fetch();
参数不会被当作SQL代码解析，从根本上杜绝注入风险。
4. 文件上传与路径处理安全
处理文件上传时，不能信任用户提交的文件名。应重命名文件、限制扩展名，并避免使用用户提供的路径。
建议做法：
- 使用 pathinfo() 分析文件信息，结合白名单判断扩展名
- 用 basename() 获取文件名，防止路径穿越
- 存储路径应配置在Web根目录之外，或通过脚本控制访问
基本上就这些。掌握 filter_var、htmlspecialchars 和预处理语句，能解决大部分常见的安全问题。关键在于：永远不要信任用户输入，所有外部数据都需验证和转义。安全处理不是附加功能，而是编码的基本习惯。
