1

A partir de PHP 8.1 la constante FITER_SANITIZE_STRING es declarada obsoleta. Lo mismo para FILTER_SANITIZE_STRIPPED. Es usada por algunos para sanear cadenas; elimina etiquetas HTML, codifica comillas dentro del string y elimina ciertos caracteres especiales:

// captura de un input de formulario
$usuario = filter_input(INPUT_POST, 'usuario', FILTER_SANITIZE_STRING);

// Una variable:
$var = "Hola <title>mundo</title> 'SOE'";
echo filter_var($var, FILTER_SANITIZE_STRING); // Hola mundo &#39;SOE&#39;

Al utilizarla, el intérprete genera la siguente advertencia:

PHP Deprecated: Constant FILTER_SANITIZE_STRING is deprecated in ...

¿Qué alternativa tienen los usuarios de esta constante?

[*] NOTAS -> PHP RFC: Deprecations for PHP 8.1 FILTER_SANITIZE_STRING

3
  • 3
    Tal como dice su manual de php, Deprecated as of PHP 8.1.0, use htmlspecialchars() instead.
    – masterguru
    Commented el 26 ene. 2022 a las 18:31
  • La idea es agregarlo a la base de conocimiento, sobre todo para los que no leen la documentación ;)
    – aeportugal
    Commented el 26 ene. 2022 a las 18:33
  • 1
    @masterguru, no deberías hacer caso de ese tipo de comentarios, me consta que tu participación y respuestas son con el fin de ayudar; siempre habrá quienes estén de acuerdo contigo y otros que no y lo único que debes hacer es no tomarlo personal.
    – Triby
    Commented el 26 ene. 2022 a las 18:46

1 respuesta 1

3

La cuestión es que FILTER_SANITIZE_STRING no tiene ninguna razón de existir porque su funcionamiento es ambiguo.

Traducido desde PHP RFC: Deprecations for PHP 8.1 FILTER_SANITIZE_STRING:

Este es un filtro dudoso y casi no tiene uso. Remueve NUL bytes, codifica comillas en HTML y remueve cualquier cosa entre < y > ... El filtro es peligroso y es una mala practica usarlo.
Al parecer se usa como un filtro que hace que una cadena sea segura mágicamente, sin ver antes en qué contexto será usada.

A pesar de tener un funcionamiento muy particular, era muy usado erróneamente para sanear entradas de usuario, y uno de los motivos que ayudaba a confundir es su nombre "...sanitize_string"

El uso de htmlspecialchars() no es un reemplazo del filtro, porque su uso es codificar caracteres HTML y no debe usarse para filtrar entradas de usuario.

> $var = "Hola <title>mundo</title> 'SOE'";
> echo htmlspecialchars($var, ENT_QUOTES);
Hola &lt;title&gt;mundo&lt;/title&gt; &#039;SOE&#039;

Dos opciones que tienes serían:

1- Crear un filtro personalizado para la situación que se necesita.
El siguiente ejemplo, elimina todo excepto alfanuméricos o espacios:

> $var = "Hola <title>mundo</title> 'SOE'";
> echo preg_replace('/[^a-zA-Z0-9 ]/', '', $var);
Hola titlemundotitle SOE

2- Si la entrada del usuario es para Base de Datos, mejor usar consultas preparadas:

$usuario = $_POST['usuario'];
// ...
$sql = "SELECT * FROM table WHERE username=?";
$stmt = $db->prepare($sql);
$stmt->bind_param('s', $usuario);
// ...

¿Y por qué no, las 2 cosas juntas? ;)

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.