答案：PHP通过filter_input过滤输入，htmlspecialchars和strip_tags转义输出，PDO预处理防止SQL注入，结合验证规则防御安全漏洞。
处理用户输入是Web开发中最关键的安全环节之一。PHP提供了多种内置函数和机制来过滤和验证用户输入，防止SQL注入、XSS攻击和其他安全漏洞。以下是一些常用且有效的PHP输入过滤与安全处理方法。
1. 使用 filter_input 过滤特定输入
filter_input 函数可以从GET、POST、COOKIE等来源安全地获取并过滤数据。它支持多种预定义的过滤器，避免手动处理带来的风险。
常见用法示例：-
过滤整数：
filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT) -
过滤邮箱：
filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL) -
清理字符串（去除HTML标签）：
filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING)
注意：FILTER_SANITIZE_STRING 在 PHP 8.1 中已被弃用，建议使用更明确的方法如 htmlspecialchars 或 strip_tags 配合验证。
2. 手动清理与转义输出内容
即使输入被验证，输出到HTML页面前仍需转义，防止XSS攻击。
-
htmlspecialchars()：将特殊字符转换为HTML实体，适用于显示用户内容。
例如：echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8'); -
strip_tags()：移除字符串中的HTML和PHP标签，可允许特定标签白名单。
例如：strip_tags($input, '');
3. 处理数据库查询：使用预处理语句
直接拼接SQL语句极易导致SQL注入。应使用PDO或MySQLi的预处理机制。
使用PDO预处理示例：
$pdo = new PDO($dsn, $user, $pass);
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch();
参数不会被当作SQL代码执行，极大提升安全性。
4. 自定义输入验证逻辑
除了内置过滤器，还需根据业务规则进行验证。
- 检查必填字段：
if (empty($_POST['username'])) { /* 提示错误 */ } - 长度限制：
if (strlen($input) > 100) { /* 超出限制 */ } - 正则验证
（如手机号、用户名格式）：preg_match('/^[a-zA-Z0-9_]{3,20}$/', $username)
（如手机号、用户名格式）：安全的数据处理不是单一函数能解决的，而是结合过滤、验证、转义和预处理的综合策略。合理使用PHP提供的工具，能有效防御大多数常见攻击。基本上就这些。
