Cómo verificar si una cadena es una URL válida

Encontré wp_http_validate_url bastante conveniente para verificar si una cadena es una URL válida o no mientras trabajaba en mi proyecto.

Consulta la referencia aquí: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

Por ejemplo:

$val = 'http://somevalidurl.com';
if ( wp_http_validate_url( $val ) ) {

    // Es una URL válida;

} else {

    // NO es una URL válida;

}

Devuelve la URL misma si es válida, de lo contrario devuelve false.

Sé que esta es una publicación antigua, pero para cualquiera que la visite, también vale la pena considerar las funciones de WP esc_url() y esc_url_raw(), siendo la última segura para entradas en bases de datos, etc., ya que no codifica entidades. esc_url() sí codifica entidades y por lo tanto es buena para mostrar a los usuarios.

En el código fuente puedes ver que esc_url() verifica una lista blanca de protocolos permitidos y su estructura, evitando así algunas de las vulnerabilidades de FILTER_VALIDATE_URL mencionadas en el enlace compartido por @tobltobs.

En mi opinión es mejor usar wp_http_validate_url.

Ejemplo 1:

filter_var( '//website.com', FILTER_VALIDATE_URL )

Devuelve falso.

Ejemplo 2:

wp_http_validate_url( '//website.com' )

Devuelve la URL.

1. Si no sabes si el sitio web usa el protocolo https o http, es mejor usar '//'.
2. wp_http_validate_url está mejorado por los desarrolladores de WP (es más específico).
3. Puedes mejorar o cambiar wp_http_validate_url usando hooks (filtros y acciones). No puedes usar hooks para filter_var.

Ref: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

Ref: https://www.php.net/manual/en/function.filter-var.php

Analicemos nuestras opciones para validar URLs en WordPress, comenzando con las más obvias.

1. filter_var() con el filtro FILTER_VALIDATE_URL en PHP no funciona para nombres de dominio internacionalizados que contienen caracteres no ASCII como http://스타벅스코리아.com. También tiene otros problemas, como señala David Müller, al aceptar http://example.com/"><script>alert("xss")</script> como URL válida aunque claramente es maliciosa.

2. wp_http_validate_url() en WordPress podría hacer un mejor trabajo, aunque fue diseñada específicamente para usarse en la API HTTP y no para la validación general de URLs. Pero aún no resuelve los dos problemas específicos mencionados anteriormente.

3. preg_match() en PHP podría funcionar o no. Escribir expresiones regulares anticipando todos los escenarios posibles no siempre es la solución más ideal y hacerlo de manera universalmente correcta puede no ser posible en ocasiones.

4. esc_url_raw() en WordPress no está diseñada para validar URLs, pero parece hacer un mejor trabajo que las demás. Funcionará con caracteres no ASCII y resolverá los otros problemas mencionados. Esta función básicamente sanitiza cualquier cadena para guardarla en la base de datos de WordPress como una URL, eliminando o alterando cualquier carácter que sea inválido o malicioso. Por lo tanto, si la versión sanitizada no es igual a la versión original, se puede decir con bastante confianza que la URL no es válida y, lo más importante, no es segura.

Aquí se muestra cómo se puede realizar la verificación de URL con la función esc_url_raw(), aprovechando también la función strtolower() para hacer la verificación insensible a mayúsculas y minúsculas.

function validateUrl($url) {
    if ( strtolower(esc_url_raw($url)) === strtolower($url) ) {
        return $url;
    } else {
        return false;
    }
}

Para asegurar que una URL enviada por el usuario sea válida y segura para almacenar y mostrar posteriormente, sugiero:

esc_url_raw($url) === $url

esc_url_raw(), como mencionó @orionrush anteriormente, sanitiza la URL eliminando cualquier cosa inválida o maliciosa. Por lo tanto, si la cadena no tiene nada inválido o malicioso, entonces está bien.

Ejemplo:

if( esc_url_raw($url) === $url ) {
   // La URL es válida. Úsala...
} else {
   // La URL es inválida o maliciosa. No la uses...
}

Escribí un artículo más extenso sobre esto aquí: https://cmljnelson.wordpress.com/2018/08/31/url-validation-in-wordpress/

is_email() en realidad no verifica si una dirección de correo electrónico es válida, solo si cumple con las especificaciones. El correo que con gusto proporciono para muchos sitios que muestran un interés innecesario en mi dirección de correo es a@b.com, que cumple con las especificaciones pero es poco probable que alguien lo esté usando.

La mejor manera de verificar URLs es haciendo ping a ellas. Puedes intentar verificar el cumplimiento de las especificaciones, pero en teoría hay muy pocas limitaciones sobre lo que puede ser una URL codificada.