邮箱地址清理：filter_var()/FILTER_SANITIZE_EMAIL 与 htmlentities() 对比

核心结论 #

这两个函数的作用场景完全不同，不存在非此即彼的选择，而是要根据处理邮箱的阶段分别使用。

1. FILTER_SANITIZE_EMAIL的真实用途 #

它不是用来做HTML输出安全处理的，而是用于清理邮箱字符串本身：

• 会移除邮箱格式不允许的字符（比如控制字符、非法符号），确保得到符合邮件协议规范的干净字符串。
• 适用场景：存储邮箱到数据库、调用邮件发送接口之前。这一步是为了避免邮箱中隐藏的非法字符导致存储失败或邮件服务器拒绝投递。

需要注意：如果邮箱已经通过filter_var($email, FILTER_VALIDATE_EMAIL)验证，用FILTER_SANITIZE_EMAIL处理后内容不会变更——因为验证通过的邮箱本身已符合规范，所有字符都是过滤器允许保留的。若出现清理后内容变更的情况，说明之前的验证存在疏漏，或者用户输入的邮箱本身不符合规范（这类情况验证应该直接失败）。

2. HTML输出的正确选择：htmlentities #

当需要把邮箱显示在HTML页面上时，必须用htmlentities（或htmlspecialchars）处理：

• 它会将HTML特殊字符（如<、>、"）转义为HTML实体（如<、>、"），既不会改变用户输入的原始内容（显示效果和用户输入完全一致），又能防止XSS攻击。
• 举个例子：如果用户输入合法邮箱"john<test>"@doe.com（符合RFC规范），直接输出到HTML会被解析为标签导致页面异常；用htmlentities处理后会变成"john<test>"@doe.com，显示效果和用户输入一致，同时不会触发安全问题。

3. 正确的处理流程 #

完整的邮箱处理链路应该是：

1. 验证：用filter_var($email, FILTER_VALIDATE_EMAIL)验证格式合法性，不合法则提示用户修正。
2. 清理（可选但推荐）：对验证通过的邮箱用filter_var($email, FILTER_SANITIZE_EMAIL)清理，确保无隐藏非法字符后，再存储或用于发送邮件。
3. HTML显示：从数据库取出邮箱后，用htmlentities($email, ENT_QUOTES, 'UTF-8')转义后再输出到页面。

内容的提问来源于stack exchange，提问作者user3425506