Serei o mais breve possível, evitando alguma partes teorias, e exemplificando a ver se esclarece.
Como validar cada tipo de dado recebido pelo PHP de uma página de formulário?
Validar cada tipo de dados recebido num formulário, depende do tipo de uso que lhe vamos dar, depois de ter sido processada.
Porém existem algumas validações que são comuns e basicamente indispensáveis para o bom funcionamento do sistema, ainda assim, continuam a não ser genéricas.
Validações Comuns
- Presença ou Tamanho
- Tipo
- Formato
- Único (Se já existe)
Em relação à algumas das funções descritas na pergunta, deixo um anexo:
trim()
Utilizada para remover espaços em branco no início e no final string.
$var = " NAD A";
print trim($var);
//Retorna: NAD A
isset()
Verifica se a variável foi definida
$var = "";
print isset($var);
//Retorna: 1 que corresponde a true
empty()
Determina se a variável é ou não vazia.
$var = "0";
print empty($var);
//Retorna: 1, equivalente a true
filter_var
Obtém uma variável especifica pelo nome, e opcionalmente filtra esse mesmo valor.
#$_GET['parametro'] = 'Qualquer Coisa';
$var = filter_input(INPUT_GET , 'parametro', FILTER_SANITIZE_STRING);
print $var ? $var : "nada definido";
//Retorna: Qualquer Coisa
filter_has_var
Verifica se a variável é de um tipo específico existente.
#$_GET['parametro'] = 'Qualquer Coisa';
print filter_has_var(INPUT_GET, 'parametro') ? "Existe" : "Nao Existe";
//Retorna: Qualquer Coisa
Agora, quanto a verificação, é recomendável que se verifica sempre se uma variável está definida, antes de tentar retornar o seu valor, ou mesmo tentar referencia-las, como é o caso das variáveis globais.
$nome = isset($_POST['nome']) ? $_POST['nome'] : NULL;
//Se a variavel global post nome estiver definida, atribui o valor dela
//a variavel, caso contrario atribui NULL como valor de $nome
Outra problema que tem-se manifestado com alguma frequência em em relação ao uso do NULL
ou null
e em relação a função empty()
.
O valor de NULL
é nada, ou seja, sem qualquer utilidade, ou efeito.
No PHP a função empty()
considera os seguintes valores como vazio:
$var = ""; # String vazia é NULL mas para o isset() está definida por ser String
$var = null; # null é NULL
$var = 0; # Zero é NULL
$var = 0.0; # 0.0 é NULL
$var = "0" # String 0 é NULL
$var = false; # é NULL
$var = array(); # Array vazia é NULL
A função empty()
acarreta também alguns problemas. Por exemplo quando se tem um formulário, onde perguntamos ao utilizador - Quantos animais de estimação tens ? - e imaginemos que este é um campo numérico, onde ele(a) pode simplesmente escolher a quantidade ou mesmo digitar a quantidade. Mas o que acontece se ele(a) digitar 0 como quantidade e logo formos verificar com o empty
, independentemente se for string 0 ou se for o int 0 a função vai retornar true, dizendo que não tem qualquer valor, assim sendo teremos um sistema com defeitos na validação de dados.
Suponhamos que temos um formulário deste semelhante e não queremos cair no mesmo erro, mas ainda queremos usar o empty()
, podemos resolver isto fazendo o seguinte:
$var = "0";
echo empty($var) && !is_numeric($var) ? "Vazio" : "Com valores";
Em relação a esta pergunta:
Esta é uma forma de "validar" que dispensa qualquer função, mesmo o
isset? Porque se for sim ou não, é claro que está setada (ou não? :-)
)...
if ($radio === "sim" || "não") {
//faça algo
}
else {
// erro
}
Verificar se o valor que lá esta é sim ou não dessa forma, vai retornar sempre sim e executar o código adiante.
Para inputs do tipo rádio, deve-se verificar apenas se o foi definido algum valor, sendo que todos os inputs do tipo rádio possuem mesmo atributo name, e diferenciando apenas nos valores. E recomenda-se também o uso de um atributo checked
para quando se trabalha com rádios, assim teremos sempre 1 valor predefinido.
Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? Mais alguma coisa(!)?
Como já disse antes, a forma correta vai depender do tipo de dados que estiveres a usar, nem sempre, a forma como tratas de um valor, é a mesma como tratas o outro.
Um exemplo de como validar Presença, tamanho, Tipo, Formato:
#Validar Presença
function vazio($valor){
$trim = trim($valor);
//Sendo que vai retornar true ou false
return isset($trim) && $trim !== "";
}
#Validar Tamanho
function tamanho($valor, $opc=[]){
// Se a opção maximo estiver definida e o numero de caract. de $valor for maior ...
if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){
return false;
}
// Se a opção minimo estiver definida e o numero de caract. de $valor for menor ...
if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){
return false;
}
// Se a opção exato estiver definida e o numero de caract. de $valor for igual ...
if(isset($opc['exat']) && (strlen($valor) != (int)$opc['exat'])){
return false;
}
// Caso passe em todos os testes
return true;
}
#validar formato
function formato($regex, $valor){
return preg_match($regex, $valor);
}
#Validar Numero/String
function numero($valor, $opc=[]){
// Se o $valor digitado for uma String retorna falso
if(!is_numeric($valor)){
return false;
}
// Se a opção max estiver definida e $valor for maior que o pedido ...
if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){
return false;
}
// Se a opção max estiver definida e $valor for menor que o pedido ...
if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){
return false;
}
// Retorna verdadeiro apenas, se todas as condições acima forem verdadeiras
return true;
}
// Vazio
echo vazio($get['valor']) ? "Com valor" : "Sem valor";
echo "<br/>";
// Maximo 5 caracteres e 3 no mínimo
echo tamanho($get['valor'], ['max'=>5, 'min'=>3]) ? "Tamanho certo" : "Excedeu";
echo "<br/>";
// Exatamente 4 digitos
echo formato("/\A\d{4}\Z/", $get['valor']) ? "Formato Certo" : "Formato Errado";
echo "<br/>";
// Maximo 5 caracteres e 2 no mínimo
echo numero($get['valor'], ['max'=>5, 'min'=>2]) ? "E numero, e corresponde" : "Nao corresponde";
Um pequeno exemplo, de como seria uma validação num formulário, utilizando o PHP:
<?php
$erro = array();
function tamanho($valor, $opc){
return strlen($valor) >= $opc;
}
function existe($valor){
//return isset($valor) && $valor !== "";
return !empty($valor) && !is_numeric($valor);
}
function validar_tamanho($dados){
global $erro;
foreach($dados as $dado => $max){
if(!tamanho($_POST[$dado], $max
// Em funções deste tipo, aqui normalmente retornamos true;
echo $_POST[$dado] . "<br/>";
} else {
$erro[$dado] = "Erro [tamanho]: " . ucfirst($dado) . " Demasiado extenso";
}
}
}
function validar_presencas($dados){
global $erro;
foreach($dados as $dado){
if(existe($_POST[$dado])){
// O correto seria true;
echo $_POST[$dado] . "<br/>";
} else {
$erro[$dado] = "Erro [presencas]: " . ucfirst($dado) . " Nao preenchido";
}
}
}
//Arrays com os campos a serem validados
$dados = array('nome'=>5, 'conteudo'=>5);
$dado = array('nome', 'dinheiro', 'console', 'conteudo');
if(isset($_POST["enviar"])){
// Aqui podemos também verificar antes, uma vez que trabalhamos com true/false
validar_tamanho($dados);
validar_presencas($dado);
if(!$erro){
$nome = filter_var(INPUT_POST, 'nome', FILTER_SANITIZE_STRING);
// Nesta parte do dinheiro, pode-se verificar antes com uma expressao regex
// Ou mesmo adicionar outros filtros, de acordo com o que se quer
$dinheiro = number_format($_POST['dinheiro'],2, ',', '');
$visivel = (int) $_POST['visivel'];
$console = filter_var(INPUT_POST, 'console', FILTER_SANITIZE_STRING);
$conteudo = mysqli_real_escape_string($conexao, $_POST['conteudo']):
//...
// Outras tarefas
}
}
// Display de erros do formulário
if(!empty($erro) && !is_numeric($erro)){
echo "<h1>Erro</h1>";
print_r($erro);
}
?>
Sendo este o formulário em questão:
<form method="POST" action="">
<input type="text" name="nome" placeholder="Seu nome aqui"/><br/><br/>
<input type="number" name="dinheiro" max="1000" min="1" placeholder="Quantia em dinheiro"/><br/><br/>
<label for="visivel">Visivel</label><br/>
Nao:<input type="radio" name="visivel" value="0" checked/>
Sim:<input type="radio" name="visivel" value="1"/><br/><br/>
<select name="apartamento">
<option value="T3">Apartamento T3</option>
<option value="T4">Apartamento T4</option>
</select><br/><br/>
<textarea name="conteudo" placeholder="Digite qualquer coisa"></textarea><br/><br/>
<input type="submit" name="enviar" value="enviar"/>
</form>
Normalmente validados os dados de acordo com o tipo de trabalho que queremos fazer com eles, é óbvio que estou sempre a repetir isso, mas, também é bom lembrar e relembrar sempre que possível. Por exemplo, se quiseres trabalhar os dados do formulário para guardar no banco de dados, basta validar os dados, e em seguida Sanitizar/Sanear usando o mysqli_real_escape_string por exemplo, caso a API em uso seja mysqli, ou processar de acordo com PDO. Ao retornar os dados do banco de dados para o browser deve-se preparar novamente para visualizar os dados provenientes do banco de dados.
Algumas destas funções são:
- htmlspecialchars()
- htmlentities()
- strip_tags()
- urlencode()
- json_encode()
- mysqli_real_escape_string()
- addslashes()
Claro que existem ainda outras funções, e também os filtros «FILTER_SANITIZE_» que são também muito úteis, apesar de possuírem nomes extensos.
Existe também outro problema na validação de dados, quando se está a comparar 2 valores, e ocorre então uma conversão para que as expressões sejam iguais. Isso ocorre na maior parte das vezes em que se utiliza o operador ==
, por exemplo:
String vs. NULL = NULL vira "", que no caso já é uma string.
Boolean vs. Outro = Outro vira boolean.
Número vs. Outro = Outro vira número.
Essa conversão, às vezes acontece, para que o resultado da comparação seja igual, sendo então as vezes recomendado usar o operador ===
para evitar falsos positivos.
Outra recomendação também, já que se está a falar de validação de entradas de formulário, é validar, quais variáveis HTTP(POST, GET...) se pretende usar:
function get_permitidos($params=[]){
$predefinidos = [];
foreach($params as $param){
if(isset($_GET[$param])){
$predefinidos[$param] = $_GET[$param];
} else {
$predefinidos[$param] = NULL;
}
}
return $predefinidos;
}
function post_permitidos($params=[]){
$predefinidos = [];
foreach($params as $param){
if(isset($_POST[$param])){
$predefinidos[$param] = $_POST[$param];
} else {
$predefinidos[$param] = NULL;
}
}
return $predefinidos;
}
$get = get_permitidos(['usuario', 'senha']);
// O que seria $_GET['usario'] é agora $get['usuario']
var_dump($get);
//127.0.0.1/projects/secure/parametros_get_permitidos.php?usuario=Edilson&senha=password&logado=1
ou sim
Desta forma apenas os parâmetros passados na função serão utilizados pelo script.
Acima de tudo, escrever funções de Sanitização próprias na maior parte das vezes não ajudam em nada, à menos que tenhamos conhecimento do que estamos a escrever, porque o PHP já possui funções próprias e testadas, ou mesmo pode-se procurar na internet por boas APIs que façam esse trabalho.
É basicamente isto, não sei se consegui ajudar o suficiente, mas estou mesmo muito cansado agora. Boa sorte.
#Algumas Referências:
PHP.net - Strings
Deletion Of Non-Characters - Unicode.org
PHP.net - Segurança