Esse é um tópico bastante antigo, mas já que este foi trazido à tona novamente deixarei duas possíveis soluções para o problema.
Como você bem descobriu, a funcionalidade de INPUT_REQUEST não foi implementada, então diferentemente do sugerido pelo Marcio, você não pode utilizar filter_input_array() pois terá o mesmo erro.
A primeira solução apoia-se na função filter_var_array(). Sua aplicabilidade é mais apropriada quando:
- Todas as entradas puderem receber o mesmo tipo de tratamento
- Você não souber o que pode vir por $_REQUEST
Para usar função filter_var_array() você deve criar um array associativo tendo como chaves os índices presentes em $_REQUEST (ou em outro array que precise) e como valores os filtros a serem aplicados.
Mas, como precisamos do memso dinamismo proporcionado por pela flag que usaríamos em filter_input() e filter_input_array(), não podemos criar esse array manualmente, então usaremos array_combine(), array_keys() e array_fill() que, juntos, permitirão a criação de um novo array em runtime, de comprimento variável e com a mesma estrutura de $_REQUEST:
$args = array_combine(
array_keys( $_REQUEST ),
array_fill( 0, count( $_REQUEST ), FILTER_SANITIZE_ENCODED )
);
array_combine() espera dois arrays como argumento. Um para servir de chaves e outro de valores.
Usamos array_keys() para obter todas as chaves de $_REQUEST e, como não sabemos quantos elementos existem em $_REQUEST para podermos montar a contra-parte necessária, usamos array_fill() que cria um novo array com uma quantidade pré-definida de elementos, aqui obtidos contando a quantidade de entradas em $_REQUEST. Todas as entradas terão o mesmo valor, no caso, a flag FILTER_SANITIZE_ENCODED.
E passaremos esse array para filter_var_array():
$filtered = filter_var_array( $_REQUEST, $args );
Isso num arquivo acessado com uma URL propositalmente nociva como http://localhost:8080/test.php?foo=<script>alert('hi');</script>
, resulta um var_dump() com:
array (size=1)
'foo' => string '%3Cscript%3Ealert%28%27hi%27%29%3B%3C%2Fscript%3E' (length=49)
A segunda alternativa é iterar o array desejado ($_REQUEST) e aplicar filter_var() em cada entrada gerando um novo array limpo.
Ela é mais apropriada quando:
Algumas entradas não puderem ser validadas por uma flag em particular -OU- requerer uma flag específica que não justificaria aplicar aos outros valores
O array a ser filtrado/validado/sanitizado é pequeno, porque iterar arrays grandes é ruim para performance
$cleansed = array();
foreach( $_REQUEST as $offset => $entry ) {
$cleansed[ $offset ] = filter_var( $entry, FILTER_SANITIZE_ENCODED );
}
A saída desse array será a mesma acima.
Quanto à primeira consideração de aplicabilidade feita sobre essa segunda técnica, você não necessariamente precisa levar ela em consideração para optar por essa técnica.
Você pode muito bem usar o primeiro método e, logo em após criar o array a ser usado ($args), sobrescrever um ou mais índices previamente conhecidos manualmente antes de informar esse array como argumento para filter_var_array():
$args = array_combine(
array_keys( $_REQUEST ),
array_fill( 0, count( $_REQUEST ), FILTER_SANITIZE_ENCODED )
);
$args['algum_campo_de_URL'] = FILTER_SANITIZE_URL;
// Ou
$args['algum_campo_sem_tratamento'] = NULL;
Nota: Não remova o índice com unset() caso contrário a entrada correspondente. ao invés de ser mantida intocada, será removida do array resultante.
Agora que o problema foi solucionado em gostaria de deixar uma palavrinha sobre o porquê de usar $_REQUEST poder ser prejudicial.
Os chamados HTTP Verbs foram criados em sua vasta especificidade para servir cada um para um propósito único. E apesar de atualmente nenhum browser respeitar todos os verbos quando definidos no atributo method de um formulário, não significa que você deva programar de forma errada também.
Sendo assim, se é POST, usemos $_POST. Se é GET, usemos $_GET. Precisamos de algum cookie? $_COOKIES.
Agora veja um cenário hipotético onde usar $_REQUEST ao invés de um dos três superglobais corretos é prejudicial:
Imagina uma situação na qual você coincidentemente tem uma variável de nome X que DEVE transitar exclusivamente via GET e outra, também chamada X, exclusivamente por POST.
Usando $_GET e $_POST, você pode perfeitamente utilizar os nomes idênticos. Mesmo que não pareça muito certo, às vezes, por harmonia léxica (sou tarado por isso com programo :P), é justificável.
Mas se você codificar seu script inteiramente com $_REQUEST, um sobrescreverá o outro e pela sutileza do procedimento, o debug seria complicado.
Veja um exemplo (bem porco) ilustrando isso:
var_dump( $_REQUEST, $_POST, $_GET );
echo '<form method="post">';
echo '<input type="hidden" name="nome" value="Bruno" />';
echo '<input type="submit" value="Vai" />';
echo '</form>';
Ao acessar a página pela primeira vez haverão três arrays vazios, afinal não existe informação ainda.
Colocando um parâmetro GET nome na URL (Bruno Augusto, para ilustrar), você verá Bruno Augusto saindo de $_REQUEST e outro, no terceiro, de $_GET. O segundo, referente à $_POST, continuará vazio.
Submeta o formulário. Será mostrado Bruno duas vezes e Bruno Augusto uma.
Isso porque o $_REQUEST mescla tudo e, graças à ordem das variáveis, o Bruno do campo oculto vindo de $_POST sobrescreverá o Bruno Augusto vindo de $_GET, porque nos arrays superglobais, possuem o mesmo índice.
Você também é afetado por esse problema bastante sutil ao usar JavaScript pois dados GET e POST são basicamente cabeçalhos e também estão sujeitos a sobrescrita.
Ainda não está convencido quanto ao seu caso por transitar dados por AJAX? Tá bom:
test.html
$(function(){
$.ajax({
method: 'post',
url: 'http://localhost/test.php?var1=value1',
data: { var1: 'some content', var2: 'doh' }
}).done( function( data ) {
console.log( data );
}).fail( function( xhr, status ) {
console.log( status );
});
});
test.php
O console response após a Requisição de sucesso:
"{"var1":"value1"}
{"var1":"some content","var2":"doh"}
{"var1":"some content","var2":"doh"}"
var1 em $_REQUEST por padrão preenchida com var1 de $_GET foi sobrescrita pelo var1 vindo de $_POST.