用于 url 验证的 PHP 正则表达式，filter_var 过于宽松

Question

首先让我们根据我的要求定义一个“URL”。

可选允许的唯一协议是http:// 和https://

然后是一个强制性域名，例如stackoverflow.com

然后是可选的其余 url 组件（path，query，hash，...）

根据我的要求参考有效和无效网址的列表

有效

• stackoverflow.com
• stackoverflow.com/questions/ask
• https://stackoverflow.com/questions/ask
• http://www.amazon.com/Computers-Internet-Books/b/ref=bhp_bb0309A_comint2?ie=UTF8&node=5&pf_rd_m=ATVPDKIKX0DER&pf_rd_s=browse&pf_rd_r=0AH7GM29WF81Q72VPFDH&pf_rd_t=101&pf_rd_p=1273387142&pf_rd_i=283155

• amazon.com/Computers-Internet-Books/b/ref=bhp_bb0309A_comint2?ie=UTF8&node=5&pf_rd_m=ATVPDKIKX0DER&pf_rd_s=browse&pf_rd_r=0AH7GM29WF81Q72VPFDH&pf_rd_t=101&pf_rd_p=1273387142&pf_rd_i=283155

• http://test-site.com（filter_var 拒绝这个！！！我有带破折号的域名）

无效

• http://www（php filter_var 允许这个，是的，我知道是 valid url）
• 谷歌
• http://www..des（php filter_var 允许这个）
• 域名中包含不允许字符的任何网址

为了完整起见，这里是我的 php 版本：5.3.2-1ubuntu4.2

Answer 1

作为起点你可以使用这个，它是为 JS 设计的，但它很容易转换为 PHP preg_match。

/^(https?\://)?(www\.)?([a-z0-9]([a-z0-9]|(\-[a-z0-9]))*\.)+[a-z]+$/i

对于 PHP 应该可以使用这个：

$reg = '@^(https?\://)?(www\.)?([a-z0-9]([a-z0-9]|(\-[a-z0-9]))*\.)+[a-z]+$@i';

无论如何，此正则表达式仅验证域部分，但您可以处理此问题或在第一个斜杠 '/'（"://" 之后）处拆分 url，并分别验证域部分和休息。

顺便说一句：它也会验证 "http://www.domain.com.com" 但这不是错误，因为子域 url 可能类似于："http://www.subdomain.domain.com" 并且它是有效的！并且几乎没有办法（或至少没有操作简单的方法）使用正则表达式验证正确的域 tld，因为您必须像这样一个接一个地将所有可能的域 tld 内联写入您的正则表达式：

/^(https?\://)?(www\.)?([a-z0-9]([a-z0-9]|(\-[a-z0-9]))*\.)+(com|it|net|uk|de)$/i

（例如，最后一个将仅验证以 .com/.net/.de/.it/.co.uk 结尾的域）。 总是有新的 tld 出现，所以每次有新的 tld 出现时，您都必须调整正则表达式，这很让人头疼！

Answer 2

您可以使用parse_url 将地址分解为其组成部分。虽然它明确不是为验证 URL 而构建的，但分析生成的组件并将它们与您的要求相匹配至少是一个开始。

Answer 3

它可能会有所不同，但在大多数情况下，您实际上并不需要检查任何 URL 的有效性。

如果它是重要信息，并且您足够信任您的用户让他通过 URL 提供它，那么您可以足够信任他以提供有效的 URL。

如果它不是重要信息，那么您只需检查 XSS 尝试并显示用户想要的 URL。

如果您没有检测到“http://”，您可以手动添加一个“http://”以避免导航问题。

---

我知道，我不会为您提供替代解决方案，但也许解决性能和有效性问题的最佳方法就是避免不必要的检查。