php表单提交过滤

基础概念

PHP表单提交过滤是指在用户通过HTML表单提交数据到PHP服务器时，对提交的数据进行验证和清理的过程。这个过程旨在防止恶意用户通过表单提交非法或有害的数据，如SQL注入、跨站脚本攻击（XSS）等。

类型

客户端过滤：在用户浏览器端进行数据验证，通常使用JavaScript实现。
服务器端过滤：在服务器端进行数据验证和清理，通常使用PHP等服务器端语言实现。

应用场景

任何需要用户提交数据的Web应用都需要进行表单提交过滤，例如：

用户注册和登录表单
商品评论表单
搜索表单
联系表单

示例代码

以下是一个简单的PHP表单提交过滤示例：

<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // 获取表单数据
    $username = $_POST['username'];
    $email = $_POST['email'];
    $password = $_POST['password'];

    // 过滤和验证用户名
    if (!preg_match("/^[a-zA-Z0-9_]{3,16}$/", $username)) {
        echo "用户名格式不正确";
        exit();
    }

    // 过滤和验证邮箱
    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        echo "邮箱格式不正确";
        exit();
    }

    // 过滤和验证密码
    if (strlen($password) < 6) {
        echo "密码长度至少为6位";
        exit();
    }

    // 数据库操作（假设使用PDO）
    try {
        $pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

        $stmt = $pdo->prepare("INSERT INTO users (username, email, password) VALUES (:username, :email, :password)");
        $stmt->bindParam(':username', $username);
        $stmt->bindParam(':email', $email);
        $stmt->bindParam(':password', password_hash($password, PASSWORD_DEFAULT));
        $stmt->execute();

        echo "注册成功";
    } catch (PDOException $e) {
        echo "数据库错误: " . $e->getMessage();
    }
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>注册表单</title>
</head>
<body>
    <form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]); ?>">
        用户名: <input type="text" name="username"><br>
        邮箱: <input type="email" name="email"><br>
        密码: <input type="password" name="password"><br>
        <input type="submit" value="注册">
    </form>
</body>
</html>