La cuestión es que FILTER_SANITIZE_STRING
no tiene ninguna razón de existir porque su funcionamiento es ambiguo.
Traducido desde PHP RFC: Deprecations for PHP 8.1 FILTER_SANITIZE_STRING:
Este es un filtro dudoso y casi no tiene uso. Remueve NUL bytes,
codifica comillas en HTML y remueve cualquier cosa entre <
y >
... El
filtro es peligroso y es una mala practica usarlo.
Al parecer se usa como un filtro que hace que una cadena sea segura mágicamente, sin ver antes en qué contexto será usada.
A pesar de tener un funcionamiento muy particular, era muy usado erróneamente para sanear entradas de usuario, y uno de los motivos que ayudaba a confundir es su nombre "...sanitize_string"
El uso de htmlspecialchars()
no es un reemplazo del filtro, porque su uso es codificar caracteres HTML y no debe usarse para filtrar entradas de usuario.
> $var = "Hola <title>mundo</title> 'SOE'";
> echo htmlspecialchars($var, ENT_QUOTES);
Hola <title>mundo</title> 'SOE'
Dos opciones que tienes serían:
1- Crear un filtro personalizado para la situación que se necesita.
El siguiente ejemplo, elimina todo excepto alfanuméricos o espacios:
> $var = "Hola <title>mundo</title> 'SOE'";
> echo preg_replace('/[^a-zA-Z0-9 ]/', '', $var);
Hola titlemundotitle SOE
2- Si la entrada del usuario es para Base de Datos, mejor usar consultas preparadas:
$usuario = $_POST['usuario'];
// ...
$sql = "SELECT * FROM table WHERE username=?";
$stmt = $db->prepare($sql);
$stmt->bind_param('s', $usuario);
// ...
¿Y por qué no, las 2 cosas juntas? ;)
Deprecated as of PHP 8.1.0, use htmlspecialchars() instead.