28

Sempre fui habituado a usar o isset para verificar se uma variável externa está preenchida e se estiver usa-la.

Exemplo:

if(isset($_GET['pag']))
     $pag = $_GET['pag'];

Agora instalei o NetBeans e dá me um Warning a dizer para usar a função filter_input.

Exemplo:

if($pag = filter_input(INPUT_GET , 'pag'));

Há alguma vantagem em utilizar a função filter_input?

6
  • 3
    obs: isset($_GET["pag"]) pode causar um aviso no php, você está tentando acessar um índice que pode não existir (deixe error_reporting(E_ALL) para ver este aviso que normalmente é omitido). é mais correto utilizar if(array_key_exists("pag", $_GET)) e esta função deve debater com filter_input Commented 10/10/2014 às 11:20
  • 3
    @LeonardoBosquett, pode dizer em que situação um aviso foi disparado usando isset? Commented 10/10/2014 às 11:37
  • 4
    @LeonardoBosquett Isso não está correto, a função isset existe precisamente para verificar se existe o índice pag na matriz $_GET. Repara no exemplo da documentação em: http://php.net/manual/en/function.isset.php
    – Zuul
    Commented 10/10/2014 às 11:39
  • 5
    @LeonardoBosquett Os erros Undefined index e Undefined variable são apresentados quando estamos a tentar utilizar uma entrada da matriz ou uma variável que não existem. Com a função isset, tal não acontece. A função limita-se a verificar se existe, e só se existir é que vai verificar se o valor é null. Podes aprofundar este assunto nesta resposta do SOEN. Em suma, a função isset serve precisamente para evitar os erros: Undefined index e Undefined variable.
    – Zuul
    Commented 10/10/2014 às 12:11
  • 1
    o ntebeans dispara o warning devido as políticas de uso da plataforma netbeans. Não quer dizer que no PHP seja assim também.. é meramente devido as regras do framework. Um outro exemplo, o PrestaShop dispara warning quando tenta usar mb_strlen ou strlen ou outras funções de string diretamente no código. Eles pedem para usar as libraries internas, como forma de padronizar os códigos dentro das regras do framework. Commented 1/10/2015 às 3:30

6 Respostas 6

17

Como pode ser lido na documentação da função filter_input (Inglês):

filter_input — Gets a specific external variable by name and optionally filters it

Que traduzido:

filter_input — Obtém uma variável externa específica pelo nome e opcionalmente filtra o seu valor.

A vantagem em utilizar a função filter_input é o fato de que não só vamos recolher o valor como também podemos no decorrer dessa recolha filtrar o mesmo:

$search_html = filter_input(INPUT_GET, 'chavePesquisa', FILTER_SANITIZE_SPECIAL_CHARS);

Útil para proceder à proteção, limpeza ou validação dos dados provenientes do utilizador sem fazer uso de múltiplas funções e diversas linhas de código.

A lista dos filtros pode ser encontrada aqui:

PHP Manual > Function Reference > Variable and Type Related Extensions > Filter (Inglês)

7
  • Então eu posso fazer a validação dos dados dum formulário usando somente o filter_input?
    – Jorge B.
    Commented 10/10/2014 às 11:02
  • 1
    @JorgeB. temos também o filter_input_array. Dê uma olhada na resposta que eu postei.
    – gmsantos
    Commented 10/10/2014 às 11:09
  • 2
    @JorgeB. A validação é um processo delicado e complexo, os filtros de PHP visam simplificar todo o processo mas não são 100% eficazes e podem descurar alguns detalhes. Por exemplo, o filtro FILTER_VALIDATE_EMAIL não assume corretamente todos os esquemas de composição de emails existentes hoje. E mesmo quando atualizada, essa função está desatualizada porque todos os dias existem novos esquemas a serem aplicados. Podemos assumir que parte do trabalho de validação pode ser realizado com a função filter_input, mas raramente se consegue validar tudo recorrendo à mesma.
    – Zuul
    Commented 10/10/2014 às 11:18
  • 1
    @Zuul para essas exceções que os filtros padrões não são suficientes temos o FILTER_CALLBACK.
    – gmsantos
    Commented 10/10/2014 às 11:29
  • 1
    @JorgeB. O facto da variável estar ou não preenchida é um assunto distinto. Deves fazer essa verificação se tens necessidade e/ou estás sujeito a que isso aconteça. Por norma, se vier de um utilizador, nunca confiar, sempre verificar! :)
    – Zuul
    Commented 28/10/2014 às 15:17
12

A principal diferença é que isset() verifica se existe algum valor na variável, enquanto com filter_input() é possível fazer algumas validações ou limpezas nas entradas.

a lista de validações e limpezas

O uso de filter_input() pode algumas vezes simplificar validações, por exemplo um intervalo de idade, onde uma criança não pagaria uma passagem de ônibus, ou teria uma valor diferenciado na cobrança de uma refeição em um restaurante.

Validação com filter_input:

$options = array('options' => array('min_range' => 0, 'max_range' => 6 ));
if($idade = filter_input(INPUT_GET, 'search', FILTER_VALIDATE_INT, $options)){
    echo 'isento de pagar a passagem de ônibus pois sua idade é: '. $idade;
}else{
    echo 'Na dúvida sempre cobre, idade: '. $idade;
}

Uma forma de validação tradicional:

$idade = -1;
if(isset($_GET['search']) && ctype_digit($_GET['search'])){
    $idade = $_GET['search'];
}

if($idade >= 0 && $idade <= 6){
    echo 'Isento de pagar a passagem de ônibus pois sua idade é: '. $idade;
}else{
    echo 'Na dúvida sempre cobre, idade: '. $idade;
}
10

Algo que creio que ninguém tenha comentado, mas acho importante ressaltar é que o filter_input tem uma grande diferença em relação ao isset.

O isset vai verificar se uma determinada é existente, independente se venha de conteúdo externo ou não.

Exemplo comum:

// url?nome=wallace 
isset($_GET['nome']); // true

Porém se eu fizer isso, funcionará também:

// url?nome=wallace
 $_GET['idade'] = 25;
isset($_GET['idade']); // true

Veja que declarei um valor para variável $_GET, o qual não existia na url, mas apenas no código, e isset o detectou lá, como era de se esperar.

Agora vejam a diferença em relação ao filter_input

//url?nome=wallace
filter_input(INPUT_GET, 'nome'); // 'wallace';

Já nesse caso:

$_GET['idade'] = 25;
filter_input(INPUT_GET, 'idade');// bool(false)

Perceba que filter_input não é "enganado" pela declaração de um valor dentro do array $_GET.

Sendo assim, filter_input verifica realmente se o conteúdo existe externamente, via método GET. Já isset só verifica se o valor existe ou não.

O mesmo caso vale para a função filter_has_var. Então, eis aí um motivo para usá-la ao invés de isset;

Achei importante ressaltar isso aqui.

5
  • O laravel usa filter_has_var?
    – rray
    Commented 30/10/2015 às 15:44
  • @rray, o Laravel não usa nenhuma dessas variáveis globais do PHP. Na verdade, ele usa o HttpFoundation\Request do Symfony. Aí, o Symfony, por sua vez, tem um tal de Request::createFromGlobals, que utiliza essas variáveis. Na minha opnião com tudo isso, eles não usam. Mas acho que todos deveríamos, já que é um recurso novo Commented 30/10/2015 às 15:45
  • 1
    Lembro que o laravel tem um uns métodos, has_var ou except para filtar os inputs, é bacana.
    – rray
    Commented 30/10/2015 às 15:49
  • 1
    Ah, sim. Vale a pena fazer uma pergunta sobre isso, hein. Input::only('nome', 'idade', 'cidade'). Pega apenas esses trềs inputs :) Commented 30/10/2015 às 15:50
  • Exato, para previnir argumentos maliciosos na url :D. Tenho estudado um pouco laravel.
    – rray
    Commented 30/10/2015 às 15:51
9

A vantagem em usar o filter_input está na facilidade em aplicar filtros em sua string.

O mesmo resultado pode ser obtido com a função filter_var, que implementa as constantes de FILTER

O filter_input teria a mesma função que:

// Sem filter_input
$email = filter_var($_GET['email'], FILTER_VALIDATE_EMAIL);

// Usando filter input
$email = filter_input(INPUT_GET , 'email', FILTER_VALIDATE_EMAIL);

As funções filter_* são poucos usadas por iniciantes, porem elas tem bastante utilidade. No exemplo acima por exemplo, o php já valida se o input é um email, sem precisar recorrer a Expressões Regulares monstras.

Com um pouco de criatividade, usando um primo da função filter_input, a filter_input_array, podemos validar nossos formulários com um código bastante expressivo e elegante.


Exemplo adaptado da documentação:

<?php

$data = array(
    'product_id'    => 'libgd<script>',
    'component'     => '10',
    'versions'      => '2.0.33',
    'testscalar'    => array('2', '23', '10', '12'),
    'testarray'     => '2',
);

$args = array(
    'product_id'   => FILTER_SANITIZE_ENCODED,
    'component'    => array('filter'    => FILTER_VALIDATE_INT,
                            'flags'     => FILTER_FORCE_ARRAY,
                            'options'   => array('min_range' => 1, 'max_range' => 10)
                           ),
    'versions'     => FILTER_SANITIZE_ENCODED,
    'doesnotexist' => FILTER_VALIDATE_INT,
    'testscalar'   => array(
                            'filter' => FILTER_VALIDATE_INT,
                            'flags'  => FILTER_REQUIRE_SCALAR,
                           ),
    'testarray'    => array(
                            'filter' => FILTER_VALIDATE_INT,
                            'flags'  => FILTER_FORCE_ARRAY,
                           )

);

$myinputs = filter_var_array($data, $args);

var_dump($myinputs);

Resulta no seguinte array já tratado:

array(6) {
  ["product_id"]=>
  array(1) {
    [0]=>
    string(17) "libgd%3Cscript%3E"
  }
  ["component"]=>
  array(1) {
    [0]=>
    int(10)
  }
  ["versions"]=>
  array(1) {
    [0]=>
    string(6) "2.0.33"
  }
  ["doesnotexist"]=>
  NULL
  ["testscalar"]=>
  bool(false)
  ["testarray"]=>
  array(1) {
    [0]=>
    int(2)
  }
}
3
  • 4
    "são poucos usadas por iniciantes". Eu não diria isso e digo por mim, não uso pois validação é algo muito delicado e o PHP tem um 'probleminha' com algumas validações - acentos que dependem das funções MB, validação de numéricos... Por isso prefiro criar minhas regras. Mas a explanação vale +1 :) Commented 10/10/2014 às 11:09
  • 1
    @PapaCharlie realmente existem esse 'probleminhas', mas prefiro tratá-los como exceções. Porém quando me deparo com esses probleminhas podemos recorrer ao bom e velho callback :)
    – gmsantos
    Commented 10/10/2014 às 11:18
  • 1
    Veja a flag FILTER_VALIDATE_INT. Você recebe 1e1(10), e ele diz que é true porque para o PHP 1e1 equivale a 10, logo é um INT entre 1-10. :) Commented 10/10/2014 às 11:26
7

Sim, e muita vantagem, já que com ela você faz a "limpeza" dos dados de entrada ao utilizar o terceiro parâmetro, que é o tipo de filtro. Existem diversos filtros que você pode substituir pelas validações manuais que era acostumado a fazer, como por exemplo validar um endereço de e-mail ou simplesmente verificar se uma entrada é um número.

Alguns exemplos:

if ($email = filter_input(INPUT_POST , 'email', FILTER_VALIDATE_EMAIL)) {
    // é um e-mail válido
}

if ($numero = filter_input(INPUT_POST , 'numero', FILTER_VALIDATE_INT)) {
    // é um inteiro
}

Os filtros, como você pode verificar na URL acima, podem ser tanto para validação quanto para "higienizar" um dado de entrada.

Lembrando que está disponível a partir da versão 5.2.0.

4

Existe um bug (reportado em 24/03/2012) relacionado à função filter_input(). Alguns valores de $_SERVER não são exibidos corretamente. O trecho de código abaixo exibe as chaves onde o problema ocorre:

foreach ($_SERVER as $key => $value) {
    if (filter_input(INPUT_SERVER, $key) != $value) {
        echo $key;
    }
}

Serão exibidas as chaves REQUEST_TIME e REQUEST_TIME_FLOAT. Para esses dois casos não se deve utilizar filter_input(), utilizando o acesso "tradicional" com:

$_SERVER['REQUEST_TIME'];

A função filter_has_var() também é afetada por esse bug.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .