我已安装了PHP 8.1并开始测试我的旧项目。我使用了过滤器FILTER_SANITIZE_STRING，如下所示：
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
现在我遇到了这个错误：
已弃用：常量 FILTER_SANITIZE_STRING 已被弃用
当我使用 FILTER_SANITIZE_STRIPPED 时也出现相同情况：
已弃用：常量 FILTER_SANITIZE_STRIPPED 已被弃用
我应该使用什么替代它们呢？
这个过滤器的目的不明确。很难说它实际上想要达到什么目的或者应该在何时被使用。由于它的名称，它还会与默认的字符串过滤器混淆，但实际上默认的字符串过滤器称为FILTER_UNSAFE_RAW。PHP社区决定不再支持使用此过滤器。
这个过滤器的行为非常不直观。它会删除<和字符串结尾或下一个>之间的所有内容。它也会删除所有的NUL字节。最后，它将'和"编码为它们的HTML实体。
如果你想替换它，有几个选择：
使用默认的字符串过滤器FILTER_UNSAFE_RAW，它不执行任何过滤。如果你对FILTER_SANITIZE_STRING的行为一无所知，只是想使用一个默认的过滤器来获取字符串值，那么应该使用它。
如果你使用这个过滤器来防止XSS漏洞，那么请用htmlspecialchars()替换它的使用。不要在输入数据上调用此函数，为了防止XSS，必须对输出进行编码！
如果你确切知道该过滤器的作用，并且想创建一个polyfill，你可以很容易地用正则表达式实现。
function filter_string_polyfill(string $string): string
{
$str = preg_replace('/\x00|<[^>]*>?/', '', $string);
return str_replace(["'", '"'], [''', '"'], $str);
}
如果您想将变量转换为安全的 HTML 字符串，可以使用最接近常数 FILTER_SANITIZE_FULL_SPECIAL_CHARS 代替。
根据文档，你应该用htmlspecialchars()替换它。
FILTER_SANITIZE_STRING
去除标签并对双引号和单引号进行HTML编码，可选择去除或编码特殊字符。通过设置FILTER_FLAG_NO_ENCODE_QUOTES可以禁用引号的编码。（自PHP 8.1.0起已弃用，请改为使用htmlspecialchars()）
FILTER_SANITIZE_STRIPPED
"string"过滤器的别名。（自PHP 8.1.0起已弃用，请改为使用htmlspecialchars()）
/**
* @param string $value
* @param array $flags
* @return string
*/
private static function sanitizeFilterString($value, array $flags): string
{
$noQuotes = in_array(FILTER_FLAG_NO_ENCODE_QUOTES, $flags);
$options = ($noQuotes ? ENT_NOQUOTES : ENT_QUOTES) | ENT_SUBSTITUTE;
$optionsDecode = ($noQuotes ? ENT_QUOTES : ENT_NOQUOTES) | ENT_SUBSTITUTE;
// Strip the tags
$value = strip_tags($value);
// Run the replacement for FILTER_SANITIZE_STRING
$value = htmlspecialchars($value, $options);
// Fix that HTML entities are converted to entity numbers instead of entity name (e.g. ' -> " and not ' -> "e;)
// https://stackoverflow.com/questions/64083440/use-php-htmlentities-to-convert-special-characters-to-their-entity-number-rather
$value = str_replace([""", "'"], [""", "'"], $value);
// Decode all entities
return html_entity_decode($value, $optionsDecode);
}
可以轻松地用这个替换：
FILTER_UNSAFE_RAW
htmlspecialchars可能不是一对一的替换。FILTER_SANITIZE_STRING会去除标签。在这种情况下，使用strip_tags会很有用。 - Louis Charettestrip_tags也不是一对一的替换。 - DharmanFILTER_SANITIZE_SPECIAL_CHARS作为FILTER_SANITIZE_STRING的替代方案怎么样？或者可以通过循环遍历values来实现。 - Motivated