15

Este assunto possui vários tópicos relacionados, e gera outros tantos volta e meia, cada um com uma resposta diferente. Em alguns casos temos ótimas respostas, mas nenhuma específica sobre esta pergunta (no caso da resposta linkada, a pergunta obviamente não é a mesma, e a melhor resposta não responde a esta pergunta). Eu mesmo já fiz uma sobre o isset que gerou ótimas respostas, mas é complicado entender qual a forma correta de validar um determinando dado restringindo a pergunta a apenas uma função, fica sempre uma lacuna... e acho que isso justifica esta pergunta mais ampla.

Algumas boas respostas, e quem sabe uma resposta canônica, é o que humildemente peço aqui :-) para a seguinte pergunta:

Como validar cada tipo de dado recebido pelo PHP de uma página de formulário?

As funções sugeridas nas respostas que encontrei foram, basicamente:

trim();
isset();
empty();
filter_input;
filter_has_var;

Existe alguma outra função útil para validação dos tipos de dados apresentados abaixo?

Aqui, no caso, fica suposto que:

  • cada campo é recebido isoladamente pra cada variável (sem usar $GLOBALS);
  • que todos os dados serão enviados, após o tratamento do PHP, para um banco MySQL;
  • que depois estes mesmos dados serão acessados pelo PHP;

Então gostaria de saber, em termos de segurança, da consistência dos dados e do reuso em várias funções diferentes, como é melhor validar cada tipo de dado, e o que é importante considerar quanto a isso.

Basicamente, quanto a entrada, recebo dois tipos de dados:

  • pré definidos pelo sistema: por ex.: select, radio;
  • entrados pelo usuário: text, textarea, datas;

Então sei por exemplo que, no primeiro caso, posso aceitar receber os dados, e usar no script, apenas se ele for exatamente como espero.

Esta é uma forma de "validar" que dispensa qualquer função, mesmo o isset? Porque se for sim ou não, é claro que está setada (ou não? :-) )...

if ($radio === "sim" || "não") {
    //faça algo
    }
    else { 
    // erro
    }

Neste caso basta fazer $nome = $_POST['camporadio']; e depois esse if acima antes de usar em qualquer coisa que já é seguro? Ou é melhor colocar um isset:

$nome = isset($_POST['camporadio']) ? $_POST['camporadio'] : false;

if ($radio === "sim" || "não") {
//faça algo
}
else { 
// erro
}

Está correta esta forma de utilizar o isset, ou é melhor (ou indiferente) de usar assim:

$nome = $_POST['camporadio'];
if (!isset($nome)) {
false;
//erro
}

E que no segundo caso (do tipo de entrada) tenho que pressupor certas coisas, como por exemplo, no campo de nome, endereço, etc... o usuário pode acrescentar espaços em brancos antes e depois de digitar (e daí tenho que usar o trim).

Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? Mais alguma coisa(!)?

Além do campo nome, os outros campos para os quais gostaria de saber o mesmo (principalmente quais funções utilizar em cada caso, sempre lembrando que todos os dados serão gravados no banco MySQL e reutilizados pelo PHP posteriormente), os tipos de dados que recebo da página do formulário são:

  • Apenas texto: Nome, profissão, etc;
  • Apenas números inteiros e mais nada: Número da casa, dias, idade, etc;
  • Números com pontos e vírgulas: percentuais e valores em dinheiro, etc;
  • Números com / e -: Datas;
11
  • 1
    Relacionado: Obter variável externa isset vs filter_input
    – rray
    Commented 30/09/2015 às 20:55
  • 1
    Não acho que seja duplicata, se a questão não está extensa demais pode incluir, como tratar um campo que recebe html, por exemplo aqueles editores de texto como tinymce
    – rray
    Commented 30/09/2015 às 21:08
  • 1
    Por acaso até está demasiado complexa, e muito mesmo, vai levar algum tempo a escrever a parte teórica, isso se eu escolher responder, porque as respostas até tenho, mas é meio trabalhoso explicar. A pergunta até é boa.
    – Edilson
    Commented 30/09/2015 às 22:13
  • 2
    Legal que aprove :) O texto técnico já tá bem extenso, achei que aquela meta introdução estava atrapalhando. A pergunta apareceu pra mim na análise de votos para fechar, como não mostra nenhum aqui, deve ter sido uma sinalização.
    – brasofilo
    Commented 1/10/2015 às 1:06
  • 2
    um desafio e tanto conseguir explicar isso tudo sem complicar muito. rsrs vou tentar tirar um tempo para responder. Mas isso aí vai me tomar umas 2 horas, no mínimo. Um problema maior é que normalmente votamos para fechar quando uma pergunta é ampla demais. Essa pergunta envolve muitos assuntos distintos, apesar de serem relacionados. Commented 1/10/2015 às 3:39

2 Respostas 2

12
+200

Antes de começar, é importante eliminar um problema sério de desinformação. Por isso foi necessário adicionar uma introdução sobre configuração de logs do ambiente.

É comum muitos programadores PHP inexperientes resgatarem variáveis diretamente, sem verificar se existe:

$foo = $_POST['foo'];

A justificativa geral é que "funciona" e não causa erro.

Cedo ou tarde, acabam descobrindo que em determinados ambientes funciona e em outros não.

Alguns ambientes exibem mensagem de erro e outros ocultam, o que dificulta ainda mais pois um inexperiente não sabe olhar os logs internos ou mesmo configurá-los para um melhor controle. Tampouco verificam se o ambiente está configurado adequadamente.

O PHP permite ocultar mensagens de erro ou ignorá-los caso não sejam do tipo "fatal error". Todavia, variáveis indefinidas não causam "fatal error" e por isso, aparentemente, não há problemas em acessar diretamente $foo = $_POST['foo'];.

É nesse ponto onde está o problema.

Mesmo o erro não sendo exibido, internamente o erro ocorre.

Antes de tudo, o programador PHP deve configurar adequadamente o ambiente onde a aplicação será executada.

Para ambiente de desenvolvimento, o famoso "localhost", recomenda-se ativar todas as mensagens de erro e avisos, incluindo avisos estritos e sobre sintaxes e funções em desuso.

Configuração do log de erros

Abaixo, um exemplo prático e simples para configurar o ambiente de log de erros e avisos:

<?php
/**
A constante E_ALL indica que todos os tipos de erros e avisos serão reportados.
*/
ini_set('error_reporting', E_ALL);

/**
true: ativa o log de erros. Permite o uso de 'error_log'. Veja mais abaixo.
false: desativa
*/
ini_set('log_errors',true);

/**
Define o local onde os logs serão registrados.
Recomenda-se o uso de path absoluto.
Exemplo, evite referenciar o caminho para paths relativos como "../folder/log.txt". Defina com um patrh absoluto "/path/absolute/folder/log.txt".

Alguns provedores de hospedagem compartilhada não permitem configurar essa diretiva em tempo de execução.
Para esses casos, deve-se consultar o manual ou suporte do provedor de hospedagem sobre como ler logs de erro. 
*/
ini_set('error_log', BASE_DIR . DIRECTORY_SEPARATOR . 'logs' . DS . 'php' . DIRECTORY_SEPARATOR . 'PHP_errors-' . date('Ym') . '.log');

/**
Normalmente não usamos esse recurso em ambiente de desenvolvimento e tampouco em ambiente de produção.
Recomenda-se manter como "false" por questões de performance.
true: ativa
false: desativa
*/
ini_set('html_errors',false);

/**
true: ativa a exibição de erros e avisos
false: desativa

Em ambiente de produção, mantenha como "false". Em ambiente local, como "true".
Note que "display_errors" pode ser desativado pelo provedor de hospedagem. Normalmente, provedores de hospedagem compartilhada configuram como "false" por padrão e impedem a configuração em tempo de execução.
Para esses casos, deve-se consultar o manual ou suporte do provedor de hospedagem sobre como ler logs de erro.
*/
ini_set('display_errors',true);

Esse código acima deve estar no bootstrap do aplicativo, ou seja, um arquivo inicial onde tudo que deve possuir prioridade de execução, deve estar sempre no topo de todos os outros scripts e sempre presente em quaisquer chamadas de scripts.

Esclarecido esse ponto sobre configuração de logs de erros, voltemos ao assunto sobre resgate de variáveis $_GET e $_POST.

Independentemente do ambiente estar bem ou mal configurado, apenas adote um padrão seguro que garanta a integridade de execução do seu aplicativo.

Para isso, adote boas práticas de programação.

Ao invés de acessar diretamente $foo = $_POST['foo'];, sempre verifique se o índice existe.

if (isset($_POST['foo']))
    echo $_POST['foo'];

Uma prática errônea e muito comum, é aplicar a função empty() ao invés da função isset():

if (!empty($_POST['foo']))
    echo $_POST['foo'];

Isso é uma má prática pois ocorre o mesmo problema descrito anteriormente onde acessamos diretamente sem verificar se o objeto existe. Em ambientes mal configurados ou cuja configuração oculte mensagens de erros, dá uma impressão de que não há problema em usar dessa forma.

Outro erro comum é erro de lógica de execução:

$foo = $_POST['foo'];
if (isset($foo))
    echo $foo;

Se o índice foo da variável global $_POST for inexistente, retornará o erro undefined index. Mais uma vez, voltamos ao problema de ambiente mal configurado. Em ambientes que ocultam esse nível de erro, dá uma falsa impressão de que não houve erro.

Nesse caso o erro é bastante óbvio. O PHP executará essa linha $foo = $_POST['foo']; e independente do que existe nas linhas seguintes, o erro já dispara aqui mesmo. Por isso, não tem sentido algum escrever dessa forma. Isso não se faz no PHP e nem mesmo em outras linguagens pois é ilógico.

Pense nisso como fechar um cadeado e deixar a chave no cadeado. É ilógico e muitas vezes falta de atenção.

Sanitização, Filtragens e MVC

É comum a confusão que fazem entre "verificar se um $_POST existe" e "filtrar os dados recebidos".

A confusão deve-se ao fato da maioria dos novatos não adotarem uma metodologia como o MVC onde as camadas e responsabilidades são bem definidas.

Para evitar desentendimentos e discussões desnecessários é importante salientar que não vamos falar aqui sobre as diversas variantes do MVC pois esse não é o foco. Vamos usar o termo MVC como algo genérico.

A letra M do MVC, refere-se a palavra "model" que representa o "business model". Traduzindo, é o "modelo de negócios".

Uma plataforma sólida e bem construída, permite a livre modelagem do "modelo de negócios". Pensando nisso que surgiu no mercado os frameworks que conhecemos como o CakePHP, Symfony, ZendFW, Laravel, CodeIgniter e centenas outros.

Utilizando um framework, não precisamos nos preocupar com as funções básicas do mecanismo de um aplicativo. Coisas como resgatar um $_GET e $_POST ficam ocultas, a cargo do mecanismo do framework. Esse mecanismo faz parte da letra C do MVC, representando o "Controller".

Ao fazer um pedido para receber um parâmetro $_GET ou $_POST, o controlador (Controller) não enxerga o business model. Ele simplesmente resgata a requisição. Para isso usa-se isset() ou array_key_exists() ou alguma outra técnica equivalente para evitar o disparo de erros.

O controlador não tem responsabilidade em sanitizar ou filtrar, enfim, não tem responsabilidade nem mesmo de determinar se uma requisição inexistente é válida ou não. A validação fica a cargo do "Model".

Uma vez que o controlador resgatou as variáveis globais, o "Model" as acessa e aplica as filtragens conforme as regras de negócio previamente definidas.

Se uma variável retornou como " 123abc " e o modelo de negócios permtir os espaços, não há por quê remover os espaços no momento do resgate dentro do "Controller". Por isso, é considerado má prática aplicar filtragens "indiscriminadamente" no momento do resgate.

Para entender isso na prática:

if (isset($_POST['foo']))
    $foo = trim($_POST['foo']);

if (empty($foo))
    echo 'error: foo is empty';

O controller jamais deve tomar tal decisão, pois não é responsabilidade dessa camada fazer as sanitizações ou aplicar validações.

Um erro também comum na atribuição de responsabilidade entre as camadas MVC.

if (!isset($_POST['foo']))
    echo 'erro: foo não existe';

Para o controller, se uma requisição existe ou não, é indiferente. Quem deve validar e decidir é o "Model".

Boa parte dos problemas de má práticas referente ao assunto pode ser eliminada pelo uso de MVC, OOP ou simplesmente boas práticas de programação. Mesmo em scripts escritos em forma procedural, sem uso de MVC, é possível organizar os códigos em funções genéricas que podem ser reutilizadas para diversos modelos de negócios.

Questão específica referente a validações

Apenas texto: Nome, profissão, etc; Apenas números inteiros e mais nada: Número da casa, dias, idade, etc; Números com pontos e vírgulas: percentuais e valores em dinheiro, etc; Números com / e -: Datas;

Como mencionado acima, isso é responsabilidade do "Model".

Não existe um "padrão" universal específico pois depende do modelo de negócios.

Vamos pegar como exemplo, um campo para preencher nome.

Há modelos de negócios que permitem nomes que incluam números. Há também também os que possuem um único campo onde o usuário deve ou não incluir nome e sobrenome. Há outros modelos onde o nome deve possuir apenas 1 nome e 1 sobrenome.

Por isso não há uma resposta específica para a questão que fizeste:

Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? > > Mais alguma coisa(!)?

Vamos tomar outro exemplo da lista acima. Valores de datas. É a mesma situação. Depende do modelo de negócios. O modelo permite datas por extenso? Permite escrever somente o dia e o mês, ou o ano e o mês (cartão de crédito). Pode entrar com datas no passado? Qual o limite? 10 mil anos atrás? 1 milhão de anos atrás? Permite datas futuras? 50 milhões de anos no futuro? Qual o formato permitido? O padrão ISO 8601 somente ou um formato específico do modelo de negócios? Será convertido em timestamp? Note que timestamp possui limites.

Normalmente não deve-se permitir que o usuário entre com a data livremente. É mais seguro que provenha de campos do tipo select.

E para os valores monetários? É fácil quando a moeda não é decimal, certo? Não! Errado! Mesmo moedas de valores inteiros devem ser tratadas como decimais, contudo, depende muito do modelo de negócios. Apesar de que modelo de negócio que trata moeda não decimal como inteira, é um modelo falho. E quando tratar valores monetários em formato decimal, qual o tamanho ideal de casas decimais? Duas casas? Sete casas? Deve-se também observar a diferença entre o valor real e o valor formatado para visualização amigável e um não deve sobrescrever o outro pois estamos falando de valores monetários. Uma pequena diferença de 0.0099 dólar faz uma diferença significativa em sistemas bancários onde movimenta-se trilhões por semana. Se o sistema não permtir 4 casas decimais, o valor ficaria em 0.00, ou seja, alguém vai perder dinheiro.. rsrs Mesmo que não seja uma instituição financeira que movimente trilhões, não importa. O sistema deve ser o mais sólido, o mais confiávelo possível. Íntegro.

Tudo isso é definido no modelo de negócios e, não deve de forma alguma ser tratado no controller.

Isso também responde a respeito do uso de funções de sanitização como o filter_input(). funções como trim(), filter_input(), strlen(), mb_strlen(), empty(), dentre outras, com o propósito de filtrar os dados recebidos, devem ser aplicados na camada do "Model". Jamais deve-se usar em substituição a verificação da existência de um índice, que é a função do isset().

Requisições a valores esperados

Basicamente, quanto a entrada, recebo dois tipos de dados:

pré definidos pelo sistema: por ex.: select, radio; entrados pelo usuário: text, textarea, datas; Então sei por exemplo que, no primeiro caso, posso aceitar receber os dados, e usar no script, apenas se ele for exatamente como espero.

Esta é uma forma de "validar" que dispensa qualquer função, mesmo o isset? Porque se for sim ou não, é claro que está setada (ou não? :-) )...

if ($radio === "sim" || "não") {
    //faça algo
    }
    else { 
    // erro
    }

Quando requisita um valor que é esperado, obviamente também deve-se fazer a verificação se o parâmetro existe dentro das variáveis globais.

Também deve-se fazer validação do valor recebido pois nunca deve-se confiar em entradas do usuário. Mesmo em campos do tipo radio ou select, o usuário pode manipular o valor.

Essa forma que apresentou é segura, porém há 2 erros onde um é grave pois retorna resultado errôneo:

$nome = isset($_POST['camporadio']) ? $_POST['camporadio'] : false;

if ($radio === "sim" || "não") {
//faça algo
}
else { 
// erro
}

A condição if ($radio === "sim" || "não") { deveria ser if ($radio == "sim" || $radio == "não") {.

A forma apresentada causaria erro de lógica: if ($radio === "sim" || "não") { .

Outro erro é que $radio não foi definido pois quem recebe o $_POST é outra variável definida como $nome. Mas creio que foi mera distração enquanto digitava a pergunta.

Observação final, achei melhor não falar do antigo "register globals". Esse recurso incomodou muito durante uns 10 anos mas foi removido no PHP 5.4 após muitos anos no modo DEPRECATED. Hoje em dia é "raro" encontrar alguém que utilize por isso achei irrelevante falar sobre o recurso. Para referências: http://php.net/manual/en/security.globals.php

[Texto adicionado em 2015-10-05]

Diferença entre sanitização e validação

É importante entender a diferença entre sanitização e validação.

Na sanitização remove-se os caracteres desnecessários automaticamente, sem disparar mensagens de erro ou alerta caso o formato final passe pela validação.

A sanitização sempre precede a validação.

Abaixo, exemplos comuns de sanitização:

  1. O usuário entra com o nome em letras minúsculas ou sem um padrão, porém, o sistema deve converter para letras maiúsculas porque o modelo de negócios assim o exige:

    José Maria -> JOSÉ MARIA
    
    jose maria -> JOSÉ MARIA 
    
    jose Maria -> JOSÉ MARIA 
    
  2. Usuário entra com dados contendo espaços no começo ou no fim. Então o sistema remove os caracteres desnecessários automaticamente, sem disparar mensagens de erro ou alerta

    " foo" -> "foo"
    
    " foo " -> "foo"
    
    "foo " -> "foo"
    
  3. Usuário entra letras num campo numérico. Então o sistema remove e mantém somente os números.

Por fim, as situações são diversas e dependem do modelo de negócios.

A sanitização torna a usabilidade mais amigável e também poupa recursos do servidor, transferência de dados e tempo para ambos os lados, o cliente e o servidor.

Se tratarmos tudo diretamente na validação, sem sanitização, o processo torna-se mais burocrático.

A validação vem após o processo de sanitização. Esse é o último passo para aceitar ou negar um determinado dado.

Vamos ver na prática um exemplo específico de validação de entrada numérica?

Aqui temos uma função que filtra uma string e retorna somente caracteres numéricos.

function NumberOnly($str, $float = false)
{
    if (!is_array($str))
    {
        $a = '';
        if ($float)
        {
            $a = '.';
            $str = str_replace( ',', $a, $str );
        }
        return preg_replace('#[^0-9'.$a.']#', '', mb_convert_kana($str, 'n'));
    }
    return '';
}

Normalmente, programdores PHP de países de idioma latino ou anglo saxão, não se preocupam com idiomas orientais como os árabes, indianos, chineses, etc.

A função acima possui suporte aos números japoneses no formato "zenkaku". https://en.wikipedia.org/wiki/Language_input_keys

A função mb_convert_kana() converte caracteres zenkaku para o formato hankaku.

O exemplo abaixo ilustra a diferença entre os formatos:

zenkaku: 123
hankaku: 123

zenkaku: ABC
hankaku: ABC

Se a função não converter para o formato "hankaku", entradas "legítimas" de caracteres numéricos seriam removidas, causando transtorno ao usuário.

Muitos sistemas, mesmo websites japoneses, principalmente os antigos, não fazem a sanitização e pedem explicitamente que o usuário modifique o formato pelas funções do teclado. Isso é realmente incômodo e cria uma burocracia dificultando a acessibilidade.

O segundo parâmetro é apenas uma flag onde "true" indica que deve permitir o caracter ponto (.) quando deseja permitir números decimais.

Note que a função não valida o formato do número. Pode entrar com um número decimal inválido como 123.4.5.6, porém, isso não é a responsabilidade da sanitização. Isso é responsabilidade da validação.

A função NumberOnly() cumpre até aqui, da forma mais íntegra possível, com o seu papel que é permitir números ou pontos, removendo todo o restante desnecessário.

No passo seguinte entra a validação.

/**
Imprime 123 
*/
echo NumberOnly('abc123');

No "Model", deve existir uma regra específica para essa entrada. Com propósito ilustrativo, vamos supor que a regra diz que o número deve ter mínimo de 4 dígitos e máximo de 5.

Nesse caso, a validação retornaria aviso de erro ao usuário pois a entrada sanitizada retorna somente 3 dígitos.

5
  • Daniel, só corrigindo, a expressão if ($radio === "sim" || "não") não causaria erro de sintaxe, mas sim de lógica já que ela sempre retornaria verdadeiro independente do valor em $radio, pois o PHP valida a string "não" como verdadeiro, por ela não estar vazia.
    – KaduAmaral
    Commented 1/10/2015 às 11:14
  • Valeu @KaduAmaral, pela correção!. Commented 1/10/2015 às 11:23
  • Ótima resposta Daniel! Estou lendo com calma, e depois talvez faça algumas perguntas sobre questões pontuais. +1 (aquele erro na condição foi por desatenção mesmo na hora de escrever a pergunta, eu até já fiz uma pergunta sobre isso. Acho que como em js pode ser desta forma, daí acabo confundindo à vezes)
    – gustavox
    Commented 1/10/2015 às 19:11
  • Corrigi conforme o KaduAmaral indicou. E sobre a resposta, senti falta de falar sobre a diferença entre "sanitizar" e "validar". Acho que seria importante adicionar mas ficaria muito extenso. Commented 2/10/2015 às 3:48
  • Resposta completa! Estou fazendo um sistema em MVC e esse artigo me tirou algumas dúvidas. Obrigado Commented 7/10/2015 às 18:59
4
+100

Serei o mais breve possível, evitando alguma partes teorias, e exemplificando a ver se esclarece.

Como validar cada tipo de dado recebido pelo PHP de uma página de formulário?

Validar cada tipo de dados recebido num formulário, depende do tipo de uso que lhe vamos dar, depois de ter sido processada. Porém existem algumas validações que são comuns e basicamente indispensáveis para o bom funcionamento do sistema, ainda assim, continuam a não ser genéricas.

Validações Comuns

  • Presença ou Tamanho
  • Tipo
  • Formato
  • Único (Se já existe)

Em relação à algumas das funções descritas na pergunta, deixo um anexo:

trim()

Utilizada para remover espaços em branco no início e no final string.

$var = "     NAD   A";
print trim($var);
//Retorna: NAD  A

isset()

Verifica se a variável foi definida

$var = "";
print isset($var);
//Retorna: 1 que corresponde a true

empty()

Determina se a variável é ou não vazia.

$var = "0";
print empty($var);
//Retorna: 1, equivalente a true

filter_var

Obtém uma variável especifica pelo nome, e opcionalmente filtra esse mesmo valor.

#$_GET['parametro'] = 'Qualquer Coisa';
$var = filter_input(INPUT_GET , 'parametro', FILTER_SANITIZE_STRING);
print $var ? $var : "nada definido";
//Retorna: Qualquer Coisa

filter_has_var

Verifica se a variável é de um tipo específico existente.

#$_GET['parametro'] = 'Qualquer Coisa';
print filter_has_var(INPUT_GET, 'parametro') ? "Existe" : "Nao Existe";
//Retorna: Qualquer Coisa

Agora, quanto a verificação, é recomendável que se verifica sempre se uma variável está definida, antes de tentar retornar o seu valor, ou mesmo tentar referencia-las, como é o caso das variáveis globais.

$nome = isset($_POST['nome']) ? $_POST['nome'] : NULL;
//Se a variavel global post nome estiver definida, atribui o valor dela 
//a variavel, caso contrario atribui NULL como valor de $nome

Outra problema que tem-se manifestado com alguma frequência em em relação ao uso do NULL ou null e em relação a função empty().

O valor de NULL é nada, ou seja, sem qualquer utilidade, ou efeito.

No PHP a função empty() considera os seguintes valores como vazio:

$var = ""; # String vazia é NULL mas para o isset() está definida por ser String
$var = null; # null é NULL
$var = 0; # Zero é NULL
$var = 0.0; # 0.0 é NULL
$var = "0" # String 0 é NULL
$var = false; # é NULL
$var = array(); # Array vazia é NULL

A função empty() acarreta também alguns problemas. Por exemplo quando se tem um formulário, onde perguntamos ao utilizador - Quantos animais de estimação tens ? - e imaginemos que este é um campo numérico, onde ele(a) pode simplesmente escolher a quantidade ou mesmo digitar a quantidade. Mas o que acontece se ele(a) digitar 0 como quantidade e logo formos verificar com o empty, independentemente se for string 0 ou se for o int 0 a função vai retornar true, dizendo que não tem qualquer valor, assim sendo teremos um sistema com defeitos na validação de dados.

Suponhamos que temos um formulário deste semelhante e não queremos cair no mesmo erro, mas ainda queremos usar o empty(), podemos resolver isto fazendo o seguinte:

$var = "0";
echo empty($var) && !is_numeric($var) ? "Vazio" : "Com valores"; 

Em relação a esta pergunta:

Esta é uma forma de "validar" que dispensa qualquer função, mesmo o isset? Porque se for sim ou não, é claro que está setada (ou não? :-) )...

if ($radio === "sim" || "não") { //faça algo } else { // erro }

Verificar se o valor que lá esta é sim ou não dessa forma, vai retornar sempre sim e executar o código adiante.

Para inputs do tipo rádio, deve-se verificar apenas se o foi definido algum valor, sendo que todos os inputs do tipo rádio possuem mesmo atributo name, e diferenciando apenas nos valores. E recomenda-se também o uso de um atributo checked para quando se trabalha com rádios, assim teremos sempre 1 valor predefinido.

Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? Mais alguma coisa(!)?

Como já disse antes, a forma correta vai depender do tipo de dados que estiveres a usar, nem sempre, a forma como tratas de um valor, é a mesma como tratas o outro.

Um exemplo de como validar Presença, tamanho, Tipo, Formato:

#Validar Presença
function vazio($valor){
    $trim = trim($valor);
    //Sendo que vai retornar true ou false 
    return isset($trim) && $trim !== "";    
}
#Validar Tamanho
function tamanho($valor, $opc=[]){
    // Se a opção maximo estiver definida e o numero de caract. de $valor for maior ... 
    if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){
        return false;   
    }
    // Se a opção minimo estiver definida e o numero de caract. de $valor for menor ...
    if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){
        return false;   
    }
    // Se a opção exato estiver definida e o numero de caract. de $valor for igual ...
    if(isset($opc['exat']) && (strlen($valor) != (int)$opc['exat'])){
        return false;   
    }   
    // Caso passe em todos os testes
    return true;
}
#validar formato 
function formato($regex, $valor){
    return preg_match($regex, $valor);  
}
#Validar Numero/String
function numero($valor, $opc=[]){
    // Se o $valor digitado for uma String retorna falso    
    if(!is_numeric($valor)){
        return false;   
    }   
    // Se a opção max estiver definida e $valor for maior que o pedido ...
    if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){
        return false;   
    }
    // Se a opção max estiver definida e $valor for menor que o pedido ...
    if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){
        return false;   
    }
    // Retorna verdadeiro apenas, se todas as condições acima forem verdadeiras
    return true;
}

// Vazio
echo vazio($get['valor']) ? "Com valor" : "Sem valor";
echo "<br/>";
// Maximo 5 caracteres e 3 no mínimo
echo tamanho($get['valor'], ['max'=>5, 'min'=>3]) ? "Tamanho certo" : "Excedeu";
echo "<br/>";
// Exatamente 4 digitos
echo formato("/\A\d{4}\Z/", $get['valor']) ? "Formato Certo" : "Formato Errado";
echo "<br/>";
// Maximo 5 caracteres e 2 no mínimo
echo numero($get['valor'], ['max'=>5, 'min'=>2]) ? "E numero, e corresponde" : "Nao corresponde";

Um pequeno exemplo, de como seria uma validação num formulário, utilizando o PHP:

<?php

$erro = array();

function tamanho($valor, $opc){
    return strlen($valor) >= $opc;
}

function existe($valor){
    //return isset($valor) && $valor !== "";    
    return !empty($valor) && !is_numeric($valor);   
}

function validar_tamanho($dados){
    global $erro;   
    foreach($dados as $dado => $max){
        if(!tamanho($_POST[$dado], $max
            // Em funções deste tipo, aqui normalmente retornamos true;
            echo $_POST[$dado] . "<br/>";   
        } else {
            $erro[$dado] = "Erro [tamanho]: " . ucfirst($dado) . " Demasiado extenso";  
        }   
    }   
}

function validar_presencas($dados){
    global $erro;   
    foreach($dados as $dado){
        if(existe($_POST[$dado])){
            // O correto seria true;    
            echo $_POST[$dado] . "<br/>";   
        } else {
            $erro[$dado] = "Erro [presencas]: " . ucfirst($dado) . " Nao preenchido";   
        }   
    }
}

//Arrays com os campos a serem validados
$dados = array('nome'=>5, 'conteudo'=>5);
$dado = array('nome', 'dinheiro', 'apartamento', 'conteudo');

if(isset($_POST["enviar"])){
    // Aqui podemos também verificar antes, uma vez que trabalhamos com true/false  
    validar_tamanho($dados);
    validar_presencas($dado);
    if(!$erro){
        $nome = filter_var(INPUT_POST, 'nome', FILTER_SANITIZE_STRING); 
        // Nesta parte do dinheiro, pode-se verificar antes com uma expressao regex
        // Ou mesmo adicionar outros filtros, de acordo com o que se quer
        $dinheiro = number_format($_POST['dinheiro'],2, ',', '');
        $visivel = (int) $_POST['visivel'];
        $console = filter_var(INPUT_POST, 'console', FILTER_SANITIZE_STRING);
        $conteudo = mysqli_real_escape_string($conexao, $_POST['conteudo']):
        //...
        // Outras tarefas   
    }
}
// Display de erros do formulário
if(!empty($erro) && !is_numeric($erro)){
    echo "<h1>Erro</h1>";
    print_r($erro); 
}   

?>

Sendo este o formulário em questão:

<form method="POST" action="">
<input type="text" name="nome" placeholder="Seu nome aqui"/><br/><br/>
<input type="number" name="dinheiro" max="1000" min="1" placeholder="Quantia em dinheiro"/><br/><br/>
<label for="visivel">Visivel</label><br/>
Nao:<input type="radio" name="visivel" value="0" checked/>
Sim:<input type="radio" name="visivel" value="1"/><br/><br/>
<select name="apartamento">
    <option value="T3">Apartamento T3</option>
    <option value="T4">Apartamento T4</option>
</select><br/><br/>
<textarea name="conteudo" placeholder="Digite qualquer coisa"></textarea><br/><br/>
<input type="submit" name="enviar" value="enviar"/>
</form>

Normalmente validamos os dados de acordo com o tipo de trabalho que queremos fazer com eles, é óbvio que estou sempre a repetir isso, mas, também é bom lembrar e relembrar sempre que possível. Por exemplo, se quiseres trabalhar os dados do formulário para guardar no banco de dados, basta validar os dados, e em seguida Sanitizar/Sanear usando o _mysqli_real_escape_string_ por exemplo, caso a API em uso seja mysqli, ou processar de acordo com PDO. Ao retornar os dados do banco de dados para o browser deve-se preparar novamente para visualizar os dados provenientes do banco de dados.

Algumas destas funções são:

  • htmlspecialchars()
  • htmlentities()
  • strip_tags()
  • urlencode()
  • json_encode()
  • mysqli_real_escape_string()
  • addslashes()

Claro que existem ainda outras funções, e também os filtros «FILTER_SANITIZE_» que são também muito úteis, apesar de possuírem nomes extensos.

Existe também outro problema na validação de dados, quando se está a comparar 2 valores, e ocorre então uma conversão para que as expressões sejam iguais. Isso ocorre na maior parte das vezes em que se utiliza o operador ==, por exemplo:

String vs. NULL = NULL vira "", que no caso já é uma string.

Boolean vs. Outro = Outro vira boolean.

Número vs. Outro = Outro vira número.

Essa conversão, às vezes acontece, para que o resultado da comparação seja igual, sendo então as vezes recomendado usar o operador === para evitar falsos positivos.

Outra recomendação também, já que se está a falar de validação de entradas de formulário, é validar, quais variáveis HTTP(POST, GET...) se pretende usar:

function get_permitidos($params=[]){
    $predefinidos = [];
    foreach($params as $param){
        if(isset($_GET[$param])){
            $predefinidos[$param] = $_GET[$param];  
        } else {
            $predefinidos[$param] = NULL;   
        }   
    }   
    return $predefinidos;
}

function post_permitidos($params=[]){
    $predefinidos = [];
    foreach($params as $param){
        if(isset($_POST[$param])){
            $predefinidos[$param] = $_POST[$param]; 
        } else {
            $predefinidos[$param] = NULL;   
        }   
    }   
    return $predefinidos;
}

$get = get_permitidos(['usuario', 'senha']);
// O que seria $_GET['usario'] é agora $get['usuario']
var_dump($get);

//127.0.0.1/projects/secure/parametros_get_permitidos.php?usuario=Edilson&senha=password&logado=1 ou sim

Desta forma apenas os parâmetros passados na função serão utilizados pelo script.

Acima de tudo, escrever funções de Sanitização próprias na maior parte das vezes não ajudam em nada, à menos que tenhamos conhecimento do que estamos a escrever, porque o PHP já possui funções próprias e testadas, ou mesmo pode-se procurar na internet por boas APIs que façam esse trabalho.

É basicamente isto, não sei se consegui ajudar o suficiente, mas estou mesmo muito cansado agora. Boa sorte.


Algumas Referências:

PHP.net - Strings

Deletion Of Non-Characters - Unicode.org

PHP.net - Segurança

6
  • Excelente resposta! Vou estudar com calma! Valeu por enquanto! +1
    – gustavox
    Commented 2/10/2015 às 15:22
  • Faltam algumas explicações e exemplos que omiti durante a criação da resposta, porque isto é mesmo algo grande.
    – Edilson
    Commented 2/10/2015 às 15:26
  • Nah, ficou ótimo cara, as duas respostas aqui foram ótimas, vão me ajudar muito. Valeu mesmo, e assim que for possível (tem que esperar um tempo mínimo, vou conceder as recompensas como prometi no início)... Valeu mesmo! Abraços!
    – gustavox
    Commented 2/10/2015 às 15:29
  • 1
    Acabei de corrigir alguns erros ortográficos, e já tenho mais ou menos uma ideia do que estás fazer.
    – Edilson
    Commented 2/10/2015 às 15:39
  • 1
    Usa funções para refatorar, ou se forem muitas, organiza em classes -.
    – Edilson
    Commented 3/10/2015 às 22:27

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .