PHP表单验证入门：校验思路与方法

PHP表单验证最该先做三件事：①用isset($_POST['submit'])或$_SERVER['REQUEST_METHOD']==='POST'确认提交；②对每个字段用trim()去首尾空格；③用!empty(trim($_POST['name']))而非$_POST['name']!==''判断非空。

PHP 表单验证最该先做的三件事

别急着写 filter_var() 或正则，表单验证出问题，80% 是因为没做这三步：

$_POST

• 用 isset($_POST['submit']) 或 $_SERVER['REQUEST_METHOD'] === 'POST' 确认是真实提交
• 对每个字段先用 trim() 去首尾空格，否则 " user@example.com " 会被 filter_var(..., FILTER_VALIDATE_EMAIL) 判为无效
• 用 !empty(trim($_POST['name'])) 而不是 $_POST['name'] !== ''，避免传入空格或 null 时逻辑错乱

filter_var() 验证邮箱和 URL 的坑在哪

filter_var() 看似简单，但默认行为容易误判。比如 filter_var('test@localhost', FILTER_VALIDATE_EMAIL) 返回 false，但开发环境测试时你可能真用了 localhost；又比如 filter_var('https://example.com/path?x=1#top', FILTER_VALIDATE_URL) 会通过，但如果你只打算接收域名（如 example.com），它就过度宽松了。

• 邮箱校验前加 filter_var($email, FILTER_SANITIZE_EMAIL) 清理非法字符，再验证，避免 test@exa 这类注入式输入干扰判断
• URL 验证若只要求「有协议+域名」，建议拆解：先用 parse_url() 提取 host 和 scheme，再分别验证 $parsed['scheme'] && $parsed['host']
• 不要依赖前端 type="email" —— 它只在浏览器层面拦截，禁用 JS 或用 curl 就能绕过