动态验证的边界在于：filter_var等原生函数不支持条件规则，必须用配置映射+函数分发实现动态；preg_match需严控正则拼接与UTF-8修饰符；filter_input不支持过滤器链，仅适合基础清洗；错误信息须模板化、防XSS，且配置需与业务逻辑解耦。
动态切换 filter_var 和自定义验证函数的边界在哪
PHP 原生验证（如 filter_var）没法按条件改规则，它只认固定类型和选项。真要“动态”，就得绕开它，自己组织校验逻辑分支——不是给 filter_var 加参数，而是用 if/else 或映射表决定“调哪个函数”。
常见错误是硬塞条件进 FILTER_VALIDATE_EMAIL 这类常量里，结果报错或静默失败；或者把所有规则写成一个超长 switch，维护时改一处崩三处。
- 用数组配置规则映射：
['email' => 'validate_email', 'phone_zh' => 'validate_phone_cn']，运行时查表调函数 - 字段名或业务状态（如
$form_type === 'register'）作为判断依据，别依赖用户输入值本身做路由 - 避免在验证函数里再做数据库查询——动态不等于实时查库，高频场景下会拖慢响应
用 preg_match 写条件正则时，为什么有时匹配失效
正则本身没变，但“动态”意味着模式字符串是拼出来的，preg_match 对斜杠、转义、UTF-8 有严格要求，一不留神就语法错误或漏匹配。
典型现象：测试单个邮箱格式正常，但切换到手机号规则后 preg_match 返回 false，实际是拼接时多了一个空格或少了一个反斜杠。
立即学习“PHP免费学习笔记（深入）”；
- 正则模式必须用定界符包裹，推荐用
#替代/，减少转义干扰，例如：#^1[3-9]\d{9}$#u - 从配置读取正则字符串后，先用
var_dump看原始值，确认没被 trim 或 json_decode 意外处理 - 中文手机号、带区号固话等场景，务必加
u修饰符，否则\d在 UTF-8 下可能不匹配全角数字
filter_input 能不能配合条件过滤器链
不能。filter_input 只接受一个过滤器 ID（如 FILTER_SANITIZE_STRING），不支持传入回调或组合多个过滤器。所谓“链式”，得手动拆成两步：先取值，再按条件送进不同验证函数。
有人试过 filter_input(INPUT_POST, 'field', FILTER_CALLBACK, ['options' => $callback])，但这个 $callback 必须是固定函数，无法在回调内部再根据其他字段值跳转逻辑——PHP 不允许在 filter 回调里动态 require 或闭包嵌套判断。
- 安全做法：用
filter_input做基础清洗（去空格、转整型），再用独立函数做业务级验证 - 别把
filter_input当万能入口，它适合标准化预处理，不适合分支决策 - 如果表单字段间有强依赖（如“国家=CN 时校验身份证，=US 时校验 SSN”），必须在清洗后统一做条件分发
验证失败时怎么让错误信息也动态化
错误信息不能硬编码在 if 里，否则换语言或加字段就得改一堆字符串。关键是把错误码和模板分离，用字段名 + 规则类型作 key 查消息。
容易踩的坑是直接拼接用户输入进错误提示（XSS 风险），或者用 printf 时参数顺序和占位符对不上，导致 Warning: printf(): Too few arguments。
- 错误配置建议用二维数组：
['id_card' => ['required' => '请填写%s', 'format' => '%s 格式不正确']]，%s由字段中文名填充 - 输出前对字段名做
htmlspecialchars，哪怕只是日志记录也要防注入 - 同一字段多个规则失败时，只返回第一个错误（除非明确需要全部反馈），避免前端解析混乱
