别再直接读 $_GET 了：用 filter_input 给接口参数加道“安全锁”

刚接手老项目时，见过太多代码长这样：$email = $_POST['email']; $url = $_GET['site'];。表面看省事，实际跑起来要么校验逻辑散落在各处，要么某天突然爆出 XSS 漏洞。PHP 内置的 filter_input 函数，就是专门用来收拾这类残局的老将。它不绕弯子，把“获取外部数据”和“清洗过滤”合并成一步，写起来干净，防漏也省心。

函数的骨架很直白：filter_input(输入源, 变量名, 过滤器, 选项)。输入源通常写常量，比如 INPUT_GET、INPUT_POST 或 INPUT_COOKIE。遇到未传递的字段，函数会返回 null；校验不通过时则根据规则返回 false 或原始字符串。明确指定过滤规则远比手动拼正则靠谱。比如验证邮箱，直接套上 FILTER_VALIDATE_EMAIL 就能拦截格式瑕疵；想要输出前端的文本内容安全，换成 FILTER_SANITIZE_SPECIAL_CHARS，尖括号与引号会被自动转义，页面渲染再也不怕脚本劫持或乱码。

实际业务里，表单往往不止一两个字段。逐个调用函数显得笨重且容易遗漏，这时候 filter_input_array 能一次性批量处理。传入一个关联数组配置键值对，函数会按规则遍历并返回新数组。注意两个实操细节：原超全局数组不会被修改，覆盖赋值要谨慎；批量返回的结果中，缺失的字段一律是 null，判空时务必使用严格比较 === null，避开类型隐式转换带来的边界陷阱。

很多开发者忽略了过滤器的选项参数。比如验证网址时，组合加上 FILTER_FLAG_SCHEME_REQUIRED | FILTER_FLAG_HOST_REQUIRED，就能精准拦住那些只带域名不带协议头的残缺链接。对于需要精确类型的场景，像商品规格或分页页码，配合 FILTER_CALLBACK 传入自定义闭包，既能维持强类型检查的习惯，又能复用原生底层能力。数据落盘或调用第三方服务之前，别急着做复杂计算，先在入口层过一次过滤器，后续链路的容错空间会大很多。

写代码就像整理工作台，把灰尘挡在挡板外面，总比事后拿湿巾擦一遍省力。filter_input 不是万能胶，但用它撑起一层基础防线，后面的业务流转就能轻装上阵。下次拆解请求参数时，试着把裸用的超全局数组替换掉，你会直观感受到代码可读性与防御深度的双重提升。多用两次，这套习惯自然会融进日常开发节奏。