Фильтрация и очистка данных

Очистка пользовательского ввода является критически важной частью разработки программного обеспечения. Ненадлежащая очистка пользовательского ввода может привести к несанкционированному доступу к содержимому вашего приложения, в первую очередь к данным пользователя, или даже к серверу, на котором размещено ваше приложение.

Полное изображение (из xkcd)

Компонент Phalcon\Filter предоставляет набор часто используемых фильтров и инструментов для очистки данных. Он предоставляет объектно-ориентированные оболочки вокруг расширения PHP для фильтрации.

Очистка данных

Очистка — это процесс удаления из значения определённых символов, которые не нужны или нежелательны для пользователя или приложения. Очистка ввода гарантирует сохранение целостности приложения.

$filter = new \Phalcon\Filter();

// returns "[email protected]"
$filter->sanitize("some(one)@exa\mple.com", "email");

// returns "hello"
$filter->sanitize("hello<<", "string");

// returns "100019"
$filter->sanitize("!100a019", "int");

// returns "100019.01"
$filter->sanitize("!100a019.01a", "float");

Очистка из контроллеров

Вы можете получить доступ к объекту Phalcon\Filter в своих контроллерах при доступе к данным GET или POST (через объект запроса). Первый параметр — имя переменной, которую нужно получить; второй — применяемый к ней фильтр.

class ProductsController extends \Phalcon\Mvc\Controller
{

    public function indexAction()
    {

    }

    public function saveAction()
    {

        // Sanitizing price from input
        $price = $this->request->getPost("price", "double");

        // Sanitizing email from input
        $email = $this->request->getPost("customerEmail", "email");

    }

}

Фильтрация параметров действия

Следующий пример демонстрирует, как очистить параметры действия внутри действия контроллера:

class ProductsController extends \Phalcon\Mvc\Controller
{

    public function indexAction()
    {

    }

    public function showAction($productId)
    {
        $productId = $this->filter->sanitize($productId, "int");
    }

}

Фильтрация данных

Помимо очистки, Phalcon\Filter также предоставляет фильтрацию, удаляя или изменяя данные ввода до ожидаемого формата.

$filter = new \Phalcon\Filter();

// returns "Hello"
$filter->sanitize("<h1>Hello</h1>", "striptags");

// returns "Hello"
$filter->sanitize("  Hello   ", "trim");

Типы встроенных фильтров

Ниже приведены встроенные фильтры, предоставляемые этим компонентом:

Создание собственных фильтров

Вы можете добавить свои собственные фильтры в Phalcon\Filter. Функция фильтра может быть анонимной функцией:

$filter = new \Phalcon\Filter();

//Using an anonymous function
$filter->add('md5', function($value) {
    return preg_replace('/[^0-9a-f]/', '', $value);
});

//Sanitize with the "md5" filter
$filtered = $filter->sanitize($possibleMd5, "md5");

Или, если вы предпочитаете, вы можете реализовать фильтр в классе:

class IPv4Filter
{

    public function filter($value)
    {
        return filter_var($value, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4);
    }

}

$filter = new \Phalcon\Filter();

//Using an object
$filter->add('ipv4', new IPv4Filter());

//Sanitize with the "ipv4" filter
$filteredIp = $filter->sanitize("127.0.0.1", "ipv4");

Сложная очистка и фильтрация

Сам PHP предоставляет отличное расширение для фильтрации, которое вы можете использовать. Ознакомьтесь с его документацией: Фильтрация данных в документации PHP

Реализация собственного фильтра

Для создания собственной службы фильтрации, заменяющей ту, что предоставляет Phalcon, необходимо реализовать интерфейс Phalcon\FilterInterface.