PHP如何合并多个正则实现16位字母数字字符串服务端校验

• preg_match 函数不支持g全局修饰符：PHP中preg_match完成一次匹配后就会停止检索，添加g修饰符会直接抛出警告，导致匹配逻辑失效。
• 特殊字符校验采用黑名单枚举逻辑存在严重遗漏：手动罗列特殊字符列表很容易漏判字符，即使列了<>这类标签符号，其他控制符、空白符、不可见字符也可能绕过校验，根本防不住标签注入。
• 返回值判断逻辑不严谨：preg_match匹配成功返回1、匹配失败返回0、执行出错返回false，用empty()嵌套判断容易把错误场景误判为校验通过。
• 入参没做判空处理：参数默认值为null时，直接调用strlen($referrer)会在高版本PHP中抛出类型错误。
• strlen按字节计算长度，遇到多字节字符（比如中文、特殊符号）会出现长度计算偏差。

用正向预查（环视）语法可以把所有校验规则合并为单条正则，不需要堆叠大量AND逻辑，而且采用白名单校验思路，只允许合法字符出现，从根源杜绝注入绕过：

/^(?=.*[a-zA-Z])(?=.*\d)[a-zA-Z\d]{16}$/

正则各部分作用说明：

• ^ 标记字符串起始位置，避免字符串头部夹带非法字符
• (?=.*[a-zA-Z]) 正向预查规则：要求字符串中必须存在至少1个英文字母
• (?=.*\d) 正向预查规则：要求字符串中必须存在至少1个数字
• [a-zA-Z\d]{16} 限制所有字符只能是大小写英文字母或数字，总长度正好16位，所有特殊字符、<script>标签、中文、表情、符号都会被直接拦截
• $ 标记字符串结束位置，避免字符串尾部拼接恶意内容

<?php
function create($referrer=null){
    if (!is_string($referrer)) {
        echo '校验不通过：参数类型非法';
        return;
    }
    // 单条正则完成全部校验，无多余逻辑判断
    if (preg_match('/^(?=.*[a-zA-Z])(?=.*\d)[a-zA-Z\d]{16}$/', $referrer)) {
        echo 'The string has 16 characters, contains digits, contains letters, and does not have any special characters.';
    } else {
        echo '校验不通过：字符串不符合规则，禁止插入特殊字符或恶意标签';
    }
}

// 测试合法样例
create("kdsygdbg7j6f5ps2");
?>

注意：白名单校验的安全性远高于黑名单枚举，只要字符不在允许的数字、英文字母范围内，不管是<script>标签还是其他绕过 payload 都会被直接拦截，不存在漏判问题。

内容的提问来源于stack exchange，提问作者Winie