PHP 文件搜索：实现用户输入安全验证与排除敏感字符

3. 实现用户输入验证策略

我们可以采用两种主要的策略来验证用户输入：精确匹配排除项或内容包含排除项。

3.1 策略一：精确匹配排除项 (in_array)

当需要禁止用户搜索与特定敏感词完全一致的输入时，可以使用 in_array() 函数。例如，禁止用户直接搜索 .、.. 或 .htaccess。

适用场景: 排除那些作为完整搜索词时具有特殊含义或风险的字符串。

这里的 true 参数确保进行严格类型和值比较。

3.2 策略二：内容包含排除项 (str_contains)

当需要禁止用户输入中包含任何特定敏感字符或子字符串时，可以使用 str_contains() 函数。例如，如果希望禁止任何包含 . 的搜索，以避免意外匹配。

适用场景: 排除那些作为子字符串出现在用户输入中就构成风险的字符或短语。

3.3 整合验证逻辑到搜索流程

选择其中一种验证策略（通常精确匹配更适合本例），并将其集成到搜索逻辑的早期阶段。以下是使用精确匹配策略的完整示例：

请填写所有字段
");
        $isOk = false; // 输入为空，不通过
    } 

    // 2. 检查用户输入是否在排除列表中
    if ($isOk && in_array($_POST['field1'], $input_excludes, true)) {
        echo("
您不能搜索该内容!
");
        $isOk = false; // 输入匹配排除项，不通过
    }

    // 3. 如果输入验证通过，则执行搜索
    if ($isOk) {
        if (is_dir($dir)) {
            if ($dh = opendir($dir)) {
                echo("
↓搜索结果↓
");
                while (($file = readdir($dh)) !== false) {
                    $filename = pathinfo($file, PATHINFO_FILENAME);
                    // 这里的 $file_excludes 仍然用于过滤搜索到的文件
                    if(preg_match("/{$_POST['field1']}/i", $filename) && !in_array($file, $file_excludes)) {
                        echo("
找到: $filename"); 
                    }
                }
                closedir($dh);
            }
        }
    }
}
?>

在这个改进后的代码中，我们引入了一个 $isOk 标志位。在执行任何文件操作之前，首先检查用户输入是否为空，然后检查它是否精确匹配 $input_excludes 列表中的任何项。只有当这两个验证都通过时，才会继续执行文件目录的读取和匹配操作。