Serei o mais breve possível, evitando alguma partes teorias, e exemplificando a ver se esclarece. >**Como validar cada tipo de dado recebido pelo PHP de uma página de formulário?** Validar cada tipo de dados recebido num formulário, depende do tipo de uso que lhe vamos dar, depois de ter sido processada. Porém existem algumas validações que são comuns e basicamente indispensáveis para o bom funcionamento do sistema, ainda assim, continuam a não ser genéricas. **Validações Comuns** - Presença ou Tamanho - Tipo - Formato - Único (Se já existe) Em relação à algumas das funções descritas na pergunta, deixo um anexo: **trim()** Utilizada para remover espaços em branco no início e no final _string_. $var = " NAD A"; print trim($var); //Retorna: NAD A **isset()** Verifica se a variável foi definida $var = ""; print isset($var); //Retorna: 1 que corresponde a true **empty()** Determina se a variável é ou não vazia. $var = "0"; print empty($var); //Retorna: 1, equivalente a true **filter_var** Obtém uma variável especifica pelo nome, e _opcionalmente_ filtra esse mesmo valor. #$_GET['parametro'] = 'Qualquer Coisa'; $var = filter_input(INPUT_GET , 'parametro', FILTER_SANITIZE_STRING); print $var ? $var : "nada definido"; //Retorna: Qualquer Coisa **filter_has_var** Verifica se a variável é de um tipo específico existente. #$_GET['parametro'] = 'Qualquer Coisa'; print filter_has_var(INPUT_GET, 'parametro') ? "Existe" : "Nao Existe"; //Retorna: Qualquer Coisa Agora, quanto a verificação, é recomendável que se verifica sempre se uma variável está definida, antes de tentar retornar o seu valor, ou mesmo tentar referencia-las, como é o caso das _variáveis globais_. $nome = isset($_POST['nome']) ? $_POST['nome'] : NULL; //Se a variavel global post nome estiver definida, atribui o valor dela //a variavel, caso contrario atribui NULL como valor de $nome Outra problema que tem-se manifestado com alguma frequência em em relação ao uso do `NULL` ou `null` e em relação a função `empty()`. O valor de `NULL` é nada, ou seja, sem qualquer utilidade, ou efeito. No _PHP_ a função `empty()` considera os seguintes valores como vazio: $var = ""; # String vazia é NULL mas para o isset() está definida por ser String $var = null; # null é NULL $var = 0; # Zero é NULL $var = 0.0; # 0.0 é NULL $var = "0" # String 0 é NULL $var = false; # é NULL $var = array(); # Array vazia é NULL A função `empty()` acarreta também alguns problemas. Por exemplo quando se tem um formulário, onde perguntamos ao utilizador - Quantos animais de estimação tens ? - e imaginemos que este é um campo numérico, onde ele(a) pode simplesmente escolher a quantidade ou mesmo digitar a quantidade. Mas o que acontece se ele(a) digitar _0_ como quantidade e logo formos verificar com o `empty`, independentemente se for _string 0_ ou se for o _int 0_ a função vai retornar _true_, dizendo que não tem qualquer valor, assim sendo teremos um sistema com defeitos na validação de dados. Suponhamos que temos um formulário deste semelhante e não queremos cair no mesmo erro, mas ainda queremos usar o `empty()`, podemos resolver isto fazendo o seguinte: $var = "0"; echo empty($var) && !is_numeric($var) ? "Vazio" : "Com valores"; Em relação a esta pergunta: > Esta é uma forma de "validar" que dispensa qualquer função, mesmo o > isset? Porque se for sim ou não, é claro que está setada (ou não? :-) > )... > > if ($radio === "sim" || "não") { > //faça algo > } > else { > // erro > } Verificar se o valor que lá esta é _sim_ ou _não_ dessa forma, vai retornar sempre sim e executar o código adiante. Para _inputs_ do tipo rádio, deve-se verificar apenas se o foi definido algum valor, sendo que todos os _inputs_ do tipo _rádio_ possuem mesmo atributo _name_, e diferenciando apenas nos valores. E recomenda-se também o uso de um atributo `checked` para quando se trabalha com _rádios_, assim teremos sempre 1 valor predefinido. >**Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? Mais alguma coisa(!)?** Como já disse antes, a forma correta vai depender do tipo de dados que estiveres a usar, nem sempre, a forma como tratas de um valor, é a mesma como tratas o outro. Um exemplo de como validar _Presença, tamanho, Tipo, Formato_: #Validar Presença function vazio($valor){ $trim = trim($valor); //Sendo que vai retornar true ou false return isset($trim) && $trim !== ""; } #Validar Tamanho function tamanho($valor, $opc=[]){ // Se a opção maximo estiver definida e o numero de caract. de $valor for maior ... if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){ return false; } // Se a opção minimo estiver definida e o numero de caract. de $valor for menor ... if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){ return false; } // Se a opção exato estiver definida e o numero de caract. de $valor for igual ... if(isset($opc['exat']) && (strlen($valor) != (int)$opc['exat'])){ return false; } // Caso passe em todos os testes return true; } #validar formato function formato($regex, $valor){ return preg_match($regex, $valor); } #Validar Numero/String function numero($valor, $opc=[]){ // Se o $valor digitado for uma String retorna falso if(!is_numeric($valor)){ return false; } // Se a opção max estiver definida e $valor for maior que o pedido ... if(isset($opc['max']) && (strlen($valor) > (int)$opc['max'])){ return false; } // Se a opção max estiver definida e $valor for menor que o pedido ... if(isset($opc['min']) && (strlen($valor) < (int)$opc['min'])){ return false; } // Retorna verdadeiro apenas, se todas as condições acima forem verdadeiras return true; } // Vazio echo vazio($get['valor']) ? "Com valor" : "Sem valor"; echo "<br/>"; // Maximo 5 caracteres e 3 no mínimo echo tamanho($get['valor'], ['max'=>5, 'min'=>3]) ? "Tamanho certo" : "Excedeu"; echo "<br/>"; // Exatamente 4 digitos echo formato("/\A\d{4}\Z/", $get['valor']) ? "Formato Certo" : "Formato Errado"; echo "<br/>"; // Maximo 5 caracteres e 2 no mínimo echo numero($get['valor'], ['max'=>5, 'min'=>2]) ? "E numero, e corresponde" : "Nao corresponde"; Um pequeno exemplo, de como seria uma validação num formulário, utilizando o _PHP_: <?php $erro = array(); function tamanho($valor, $opc){ return strlen($valor) >= $opc; } function existe($valor){ //return isset($valor) && $valor !== ""; return !empty($valor) && !is_numeric($valor); } function validar_tamanho($dados){ global $erro; foreach($dados as $dado => $max){ if(!tamanho($_POST[$dado], $max // Em funções deste tipo, aqui normalmente retornamos true; echo $_POST[$dado] . "<br/>"; } else { $erro[$dado] = "Erro [tamanho]: " . ucfirst($dado) . " Demasiado extenso"; } } } function validar_presencas($dados){ global $erro; foreach($dados as $dado){ if(existe($_POST[$dado])){ // O correto seria true; echo $_POST[$dado] . "<br/>"; } else { $erro[$dado] = "Erro [presencas]: " . ucfirst($dado) . " Nao preenchido"; } } } //Arrays com os campos a serem validados $dados = array('nome'=>5, 'conteudo'=>5); $dado = array('nome', 'dinheiro', 'apartamento', 'conteudo'); if(isset($_POST["enviar"])){ // Aqui podemos também verificar antes, uma vez que trabalhamos com true/false validar_tamanho($dados); validar_presencas($dado); if(!$erro){ $nome = filter_var(INPUT_POST, 'nome', FILTER_SANITIZE_STRING); // Nesta parte do dinheiro, pode-se verificar antes com uma expressao regex // Ou mesmo adicionar outros filtros, de acordo com o que se quer $dinheiro = number_format($_POST['dinheiro'],2, ',', ''); $visivel = (int) $_POST['visivel']; $console = filter_var(INPUT_POST, 'console', FILTER_SANITIZE_STRING); $conteudo = mysqli_real_escape_string($conexao, $_POST['conteudo']): //... // Outras tarefas } } // Display de erros do formulário if(!empty($erro) && !is_numeric($erro)){ echo "<h1>Erro</h1>"; print_r($erro); } ?> Sendo este o formulário em questão: <form method="POST" action=""> <input type="text" name="nome" placeholder="Seu nome aqui"/><br/><br/> <input type="number" name="dinheiro" max="1000" min="1" placeholder="Quantia em dinheiro"/><br/><br/> <label for="visivel">Visivel</label><br/> Nao:<input type="radio" name="visivel" value="0" checked/> Sim:<input type="radio" name="visivel" value="1"/><br/><br/> <select name="apartamento"> <option value="T3">Apartamento T3</option> <option value="T4">Apartamento T4</option> </select><br/><br/> <textarea name="conteudo" placeholder="Digite qualquer coisa"></textarea><br/><br/> <input type="submit" name="enviar" value="enviar"/> </form> Normalmente validamos os dados de acordo com o tipo de trabalho que queremos fazer com eles, é óbvio que estou sempre a repetir isso, mas, também é bom lembrar e relembrar sempre que possível. Por exemplo, se quiseres trabalhar os dados do formulário para guardar no _banco de dados_, basta validar os dados, e em seguida _Sanitizar/Sanear_ usando o _mysqli_real_escape_string_ por exemplo, caso a _API_ em uso seja _mysqli_, ou processar de acordo com _PDO_. Ao retornar os dados do banco de dados para o _browser_ deve-se preparar novamente para visualizar os dados provenientes do _banco de dados_. Algumas destas funções são: - htmlspecialchars() - htmlentities() - strip_tags() - urlencode() - json_encode() - mysqli_real_escape_string() - addslashes() Claro que existem ainda outras funções, e também os filtros *«FILTER_SANITIZE_»* que são também muito úteis, apesar de possuírem nomes extensos. Existe também outro problema na validação de dados, quando se está a comparar 2 valores, e ocorre então uma conversão para que as expressões sejam iguais. Isso ocorre na maior parte das vezes em que se utiliza o operador `==`, por exemplo: >String vs. NULL = NULL vira "", que no caso já é uma string. >Boolean vs. Outro = Outro vira boolean. >Número vs. Outro = Outro vira número. Essa conversão, às vezes acontece, para que o resultado da comparação seja igual, sendo então as vezes recomendado usar o operador `===` para evitar falsos positivos. Outra recomendação também, já que se está a falar de validação de entradas de formulário, é validar, quais variáveis _HTTP(POST, GET...)_ se pretende usar: function get_permitidos($params=[]){ $predefinidos = []; foreach($params as $param){ if(isset($_GET[$param])){ $predefinidos[$param] = $_GET[$param]; } else { $predefinidos[$param] = NULL; } } return $predefinidos; } function post_permitidos($params=[]){ $predefinidos = []; foreach($params as $param){ if(isset($_POST[$param])){ $predefinidos[$param] = $_POST[$param]; } else { $predefinidos[$param] = NULL; } } return $predefinidos; } $get = get_permitidos(['usuario', 'senha']); // O que seria $_GET['usario'] é agora $get['usuario'] var_dump($get); > //127.0.0.1/projects/secure/parametros_get_permitidos.php?usuario=Edilson&senha=password&logado=1 > ou sim Desta forma apenas os parâmetros passados na função serão utilizados pelo script. Acima de tudo, escrever funções de _Sanitização_ próprias na maior parte das vezes não ajudam em nada, à menos que tenhamos conhecimento do que estamos a escrever, porque o _PHP_ já possui funções próprias e testadas, ou mesmo pode-se procurar na _internet_ por boas _APIs_ que façam esse trabalho. É basicamente isto, não sei se consegui ajudar o suficiente, mas estou mesmo muito cansado agora. Boa sorte. <hr> #Algumas Referências: [PHP.net - Strings][1] [Deletion Of Non-Characters - Unicode.org][2] [PHP.net - Segurança][3] [1]: http://php.net/manual/en/ref.strings.php [2]: http://unicode.org/reports/tr36/#Deletion_of_Noncharacters [3]: http://php.net/manual/pt_BR/security.php