本文详解如何使用 PHP 预处理用户输入，结合 trim() 与正则替换，将连续空白（包括空格、制表符、换行等）压缩为单个空格，并安全插入 PostgreSQL 数据库，避免冗余空白污染数据。
本文详解如何使用 php 预处理用户输入，结合 `trim()` 与正则替换，将连续空白（包括空格、制表符、换行等）压缩为单个空格，并安全插入 postgresql 数据库，避免冗余空白污染数据。
在 Web 表单向 PostgreSQL 数据库插入文本时，仅靠 trim() 无法解决“中间多余空格”问题——它只能去除首尾空白，而无法将 " TEST COMP. " 转换为 "TEST COMP."。真正有效的方案是：先用 preg_replace() 归一化内部空白，再用 trim() 清理首尾。
✅ 正确的字符串标准化处理
$comp = $_POST["company"] ?? '';
// 步骤1：将所有连续空白字符（\s+）替换为单个空格
// 步骤2：去除首尾可能残留的空格
$cleaned = trim(preg_replace('/\s+/', ' ', $comp));执行后：
- 输入 " TEST COMP. " → 输出 "TEST COMP."
- 输入 "\t\n Hello\t\tWorld\r\n " → 输出 "Hello World"
? 正则说明：/\s+/ 匹配一个或多个空白字符（含空格、\t、\n、\r、\f、Unicode 空白），' ' 是其统一替换目标。
⚠️ 关键注意事项
- 绝不可直接拼接 SQL 字符串：你原代码中 $queryres = "INSERT ... ('$comptr ', ...)" 存在严重 SQL 注入风险，且末尾多出的空格（'$comptr ' 中的空格）会破坏清洗效果。
- 必须使用参数化查询：PostgreSQL 的 pg_query_params() 才能确保安全与语义准确：
$cleaned = trim(preg_replace('/\s+/', ' ', $_POST["company"] ?? ''));
$v2 = $_POST["v2"] ?? '';
$query = "INSERT INTO company (v1, v2, ...) VALUES ($1, $2, ...)";
$result = pg_query_params($con, $query, [$cleaned, $v2, ...]);- 数据库层面补充（可选）：若需长期保障字段整洁，可在 PostgreSQL 中添加生成列或触发器，但前端清洗 + 参数化插入仍是首选防线。
✅ 最佳实践总结
| 环节 | 推荐做法 |
|---|---|
| 输入清洗 | trim(preg_replace('/\s+/', ' ', $str)) —— 兼容全类型空白 |
| SQL 安全 | 坚决弃用字符串拼接，改用 pg_query_params() 绑定参数 |
| 字段验证 | 在 PHP 层增加 if (empty($cleaned)) 拦截纯空白输入 |
| 调试技巧 | 使用 var_dump($cleaned) 和 bin2hex($cleaned) 检查不可见字符 |
通过这一组合策略，你不仅能精准实现 " TEST COMP. " → "TEST COMP." 的转换，更能构建健壮、安全、符合生产规范的数据写入流程。
