PHP 8.1中FILTER_SANITIZE_STRING已弃用，该用什么方案替代？

FILTER_SANITIZE_STRING和它的别名FILTER_SANITIZE_STRIPPED从PHP 8.1版本开始正式弃用，核心原因是该过滤器原有行为逻辑模糊，不同版本表现不一致，存在潜在安全风险，你可以根据业务场景选择以下替代方案：

场景1：需要完全移除HTML/PHP标签，仅保留纯文本 #

使用strip_tags()函数处理原始输入即可，示例代码：

// 先获取原始输入，再过滤标签
$username = strip_tags(filter_input(INPUT_POST, 'username', FILTER_UNSAFE_RAW));

场景2：需要将内容转义后输出到HTML页面（防XSS） #

优先选择htmlspecialchars()函数处理，示例代码：

$rawUsername = filter_input(INPUT_POST, 'username', FILTER_UNSAFE_RAW);
$username = htmlspecialchars($rawUsername, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');

如果你习惯使用filter扩展的过滤器，可以使用FILTER_SANITIZE_FULL_SPECIAL_CHARS参数，效果和上述代码一致：

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_FULL_SPECIAL_CHARS);

选择建议 #

• 如果业务逻辑需要彻底删除所有标签类内容，选strip_tags方案
• 如果内容后续需要在前端HTML页面渲染，选转义类方案，安全性更高

内容的提问来源于stack exchange，提问作者Dharman