PHP中验证复选框提交值的安全方法

要彻底解决前端篡改提交值的问题，核心思路是在PHP端维护一份合法选项的白名单，所有提交的选项必须匹配白名单内的值，非法值直接过滤。具体实现步骤如下：

1. 定义合法选项白名单 #

先把HTML中所有复选框的合法value整理成数组，作为验证的基准：

$allowedOptions = ['Apple', 'Samsung', 'Lenovo', 'Google Pixel'];

2. 安全处理POST提交数据 #

原代码存在两个明显问题：未处理“未选任何复选框”的场景，以及直接信任前端提交值。修改后的安全处理逻辑如下：

if (isset($_POST['submit'])) {
    // 初始化存储合法选中项的数组
    $selectedValidOptions = [];
    
    // 先校验提交的复选框数据是否存在且为数组
    if (isset($_POST['myCheckBoxes']) && is_array($_POST['myCheckBoxes'])) {
        // 只保留提交值与白名单的交集，自动过滤非法值
        $selectedValidOptions = array_intersect($_POST['myCheckBoxes'], $allowedOptions);
    }

    $numberSelected = count($selectedValidOptions);
    
    if ($numberSelected > 3) {
        echo '请最多选择3个选项';
    } elseif ($numberSelected === 0) {
        echo '请至少选择1个选项'; // 可根据业务需求决定是否保留
    } else {
        // 处理合法选中项，示例：转成逗号分隔的字符串
        $selectedStr = implode(', ', $selectedValidOptions);
        echo '你选择了：' . $selectedStr;

        // ******** 存入数据库的关键注意事项 ********
        // 必须使用PDO或mysqli的预处理语句，杜绝SQL注入
        // 示例（PDO写法）：
        // $pdo = new PDO('mysql:host=localhost;dbname=你的数据库名', '用户名', '密码');
        // $stmt = $pdo->prepare("INSERT INTO 目标表 (selected_options) VALUES (?)");
        // $stmt->execute([$selectedStr]);
    }
}

3. 方案有效性说明 #

• array_intersect()函数会自动筛选出同时存在于提交值和白名单中的内容，前端篡改的任何非法值都会被直接剔除，不会进入后续逻辑。
• 避免了原代码中“未选够3个时访问数组索引报错”的问题，通过遍历合法数组或implode()处理，适配任意选中数量的场景。

内容的提问来源于stack exchange，提问作者popov