PHP应用中，多页传递后存入MySQL的表单输入需做哪些清理？

嗨，针对你这个PHP Web应用的输入处理问题，我得先强调一句：永远不要信任任何来自客户端的输入——哪怕是Google Maps API填充的字段，也可能被用户篡改前端数据伪造请求，所以必须一套完整的清理+验证流程，下面给你拆解具体步骤：

一、先做输入验证：从业务规则层面过滤无效内容 #

验证是清理的前提，先确保输入符合你的业务预期，再谈后续处理：

• 针对Google Maps API填充的字段：
  1. 先明确这个字段的预期格式：如果是经纬度，验证数值范围（纬度必须在±90之间，经度在±180之间）；如果是地址字符串，用正则匹配基本的地址结构，或者调用Google Maps的服务器端Geocoding API二次校验（前端的API填充完全不可信，服务器端校验才能确保数据真实有效）。
  2. 用trim()去掉首尾的空格、换行符，避免无效的空白内容存入数据库。
• 针对用户自由输入的字段：
  1. 按数据库字段的长度限制截断或拒绝输入，比如你的字段是VARCHAR(255)，就用mb_substr()（支持多字节字符）限制长度，或者直接拒绝超过长度的输入。
  2. 如果业务不允许特殊字符，用filter_var()配合FILTER_SANITIZE_STRING过滤，或者用正则移除违规字符；如果允许特殊字符，至少要过滤掉不可见的控制字符（比如\x00这类空字符），可以用preg_replace('/[\x00-\x1F\x7F]/', '', $input)处理。

二、重中之重：防SQL注入的核心操作 #

绝对不要把用户输入直接拼接到SQL语句里！目前最可靠的方式是用预处理语句（Prepared Statements），PHP里PDO和mysqli都支持：

PDO示例： #

// 假设你已经初始化了PDO连接
$cleaned_maps_input = // 经过验证清理后的Maps字段内容
$cleaned_user_input = // 经过验证清理后的用户输入内容

$stmt = $pdo->prepare("INSERT INTO your_table (maps_field, user_input_field) VALUES (:maps_val, :user_val)");
$stmt->bindParam(':maps_val', $cleaned_maps_input);
$stmt->bindParam(':user_val', $cleaned_user_input);
$stmt->execute();

mysqli示例： #

// 假设你已经初始化了mysqli连接
$stmt = $mysqli->prepare("INSERT INTO your_table (maps_field, user_input_field) VALUES (?, ?)");
$stmt->bind_param("ss", $cleaned_maps_input, $cleaned_user_input); // "ss"表示两个字符串参数，根据实际类型调整
$stmt->execute();

别再用mysql_real_escape_string()这种过时方法了，预处理语句会自动处理字符转义，适配数据库的字符集，从根源上避免SQL注入。

三、跨页面传递时的额外处理 #

因为你的输入会通过GET/POST在多页面间传递，所以每一次接收输入时都要重新验证清理：

• 不要依赖“之前页面已经处理过”的假设，用户可以直接修改GET参数、伪造POST请求跳过前端校验。
• 如果需要把输入暂存到Session里，也要先清理验证再存入，避免Session中存在恶意数据被后续逻辑误用。

四、可选但推荐的额外清理 #

根据你的业务需求，还可以做这些操作：

• 移除或转义HTML标签：如果用户输入里可能包含恶意HTML（比如<script>标签），用strip_tags()直接移除所有标签，或者用htmlspecialchars()转义特殊字符（存储转义后的内容，后续显示时无需再处理）；如果需要支持富文本，推荐用HTMLPurifier这类专业库做净化。
• 统一字符编码：确保输入的字符编码和数据库一致（比如UTF-8），可以用mb_convert_encoding($input, 'UTF-8', 'auto')自动转换编码，避免乱码问题。

内容的提问来源于stack exchange，提问作者imagina