自定义安全过滤函数需结合上下文敏感、白名单优先和分层防御原则，通过面向对象封装实现针对XSS的精细化转义与SQL注入的预处理语句协同防护，提升安全性与可维护性。
很多时候，PHP内置的过滤函数虽然好用，但面对复杂多变的安全场景，我们总会觉得它们不够“私人订制”。自定义安全过滤函数的核心，在于根据你的应用需求和数据特性，编写专属的验证和净化逻辑，从而更精准、更深入地抵御XSS、SQL注入等常见威胁。这不仅仅是技术上的选择，更是一种对应用安全负责的态度，它让我们能更好地掌控数据流的每一个环节，确保只有“干净”且“符合预期”的数据才能进入系统或展示给用户。
解决方案
要编写PHP自定义安全过滤函数，我们首先得明确几个原则：
上下文敏感
、
白名单优先
、
分层防御
。
我们来构建一个简单的类，或者一组独立的函数，来处理常见的输入过滤需求。我个人倾向于使用类来封装，这样更面向对象，也方便管理和扩展。
1. 基础的字符串净化：
最基本的，我们总是需要处理来自用户输入的字符串。这包括去除多余的空格、HTML标签，以及对特殊字符进行转义。
这段代码展示了一个基本的框架，涵盖了字符串、HTML输出、URL、数字、邮箱和URL的净化与验证。特别强调了针对数据库的过滤，但核心思想是
预处理语句
。
立即学习
“
PHP免费学习笔记（深入）
”；
PHP自定义过滤函数在应对XSS和SQL注入时，应如何设计？
在设计自定义过滤函数来对抗XSS（跨站脚本攻击）和SQL注入时，我们需要采取截然不同的策略，因为它们攻击的上下文完全不同。我个人认为，理解这一点是构建有效防御体系的关键。
1. 应对XSS攻击的设计思路：
XSS的本质是恶意脚本在用户的浏览器中执行。所以，我们自定义过滤函数的核心目标是：
确保任何用户提供的数据在被渲染到HTML页面时，都不能被浏览器解释为可执行的代码。
上下文感知是王道：
没有一劳永逸的XSS防御。数据在HTML内容、HTML属性、URL、JavaScript代码块中，需要不同的转义方式。
HTML内容：
这是最常见的场景，
是基础，它将
等字符转义为HTML实体。我们的自定义函数可以封装它，并确保
和
等参数设置正确。
HTML属性：
属性值中的XSS可能更隐蔽，例如
。除了
，还需要注意某些属性（如
、
）可能包含
伪协议。自定义函数可以检查并移除这些危险协议。
JavaScript上下文：
如果用户输入要嵌入到
class InputFilter
{
/**
* 清理普通字符串，去除两端空白，可选去除HTML标签
*
* @param string $input 待处理的字符串
* @param bool $stripTags 是否去除HTML标签
* @return string 清理后的字符串
*/
public static function cleanString(string $input, bool $stripTags = true): string
{
$input = trim($input);
if ($stripTags) {
$input = strip_tags($input); // 移除HTML和PHP标签
}
// 进一步处理可能的特殊字符，例如控制字符
$input = preg_replace('/[ --]/', '', $input);
return $input;
}
/**
* 专门用于HTML输出的转义，防止XSS
*
* @param string $input 待转义的字符串
* @return string 转义后的字符串
*/
public static function escapeForHtml(string $input): string
{
return htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8');
}
/**
* 专门用于URL参数的转义
*
* @param string $input 待转义的字符串
* @return string 转义后的字符串
*/
public static function escapeForUrl(string $input): string
{
return urlencode($input);
}
/**
* 验证并净化整数
*
* @param mixed $input 待验证的输入
* @param int|null $default 默认值，如果验证失败
* @return int|null 整数或null
*/
public static function parseInt($input, ?int $default = null): ?int
{
$filtered = filter_var($input, FILTER_VALIDATE_INT);
return ($filtered === false) ? $default : $filtered;
}
/**
* 验证并净化邮箱地址
*
* @param string $email 待验证的邮箱
* @return string|null 邮箱地址或null
*/
public static function validateEmail(string $email): ?string
{
$filtered = filter_var($email, FILTER_VALIDATE_EMAIL);
return ($filtered === false) ? null : $filtered;
}
/**
* 验证并净化URL
*
* @param string $url 待验证的URL
* @return string|null URL或null
*/
public static function validateUrl(string $url): ?string
{
$filtered = filter_var($url, FILTER_VALIDATE_URL);
return ($filtered === false) ? null : $filtered;
}
/**
* 允许特定HTML标签的净化（例如用于富文本编辑器）
* 这通常需要更复杂的库，但这里可以提供一个简单的示例
*
* @param string $input 含有HTML的字符串
* @param array $allowedTags 允许的标签数组，例如 ['', '', '', '', 'htmlspecialchars()< > & "ENT_QUOTESUTF-8htmlspecialcharshrefsrcjavascript: