Cum verifici dacă un șir de caractere este un URL valid

Am găsit funcția wp_http_validate_url destul de utilă pentru a verifica dacă un șir de caractere este un URL valid sau nu în timp ce lucram la proiectul meu.

Consultați documentația oficială aici: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

De exemplu:

$val = 'http://somevalidurl.com';
if ( wp_http_validate_url( $val ) ) {

    // Este un URL valid;

} else {

    // NU este un URL valid;

}

Funcția returnează URL-ul însuși dacă este valid, altfel returnează false.

Știu că acesta este un articol vechi, dar pentru oricine îl vizitează, merită luate în considerare și funcțiile WP esc_url() și esc_url_raw(), cea din urmă fiind sigură pentru intrările în baze de date etc., deoarece nu codifică entități. esc_url() codifică entități și, prin urmare, este bună pentru afișare utilizatorilor.

În sursă puteți vedea că esc_url() verifică o listă albă de protocoale și structuri permise și, astfel, evită unele dintre vulnerabilitățile FILTER_VALIDATE_URL menționate de linkul postat de @tobltobs.

În opinia mea, este mai bine să folosești wp_http_validate_url.

Exemplul 1:

filter_var( '//website.com', FILTER_VALIDATE_URL )

Returnează false.

Exemplul 2:

wp_http_validate_url( '//website.com' )

Returnează URL-ul.

1. Dacă nu știi dacă site-ul folosește protocolul https sau http, este mai bine să folosești '//'.
2. wp_http_validate_url este îmbunătățit de dezvoltatorii WordPress (este mai specific).
3. Poți îmbunătăți sau modifica wp_http_validate_url folosind hook-uri (filtre & acțiuni). Nu poți folosi hook-uri pentru filter_var.

Referință: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

Referință: https://www.php.net/manual/en/function.filter-var.php

Să discutăm opțiunile noastre pentru validarea URL-urilor în WordPress, începând cu cele evidente.

1. filter_var() cu filtrul FILTER_VALIDATE_URL în PHP nu funcționează pentru nume de domenii internaționale care conțin caractere non-ASCII, cum ar fi http://스타벅스코리아.com. De asemenea, prezintă și alte probleme, așa cum a discutat David Müller, cum ar fi acceptarea http://example.com/"><script>alert("xss")</script> ca URL valid, chiar dacă este clar malefic.

2. wp_http_validate_url() în WordPress poate face o treabă mai bună, deși a fost concepută special pentru utilizarea în API-ul HTTP și nu pentru validarea generală a URL-urilor. Dar tot nu rezolvă cele două probleme specifice discutate mai devreme.

3. preg_match() în PHP poate funcționa sau nu. Scrierea expresiilor regulate care să anticipeze fiecare scenariu posibil nu este întotdeauna cea mai ideală soluție, iar obținerea unui rezultat universal corect poate fi uneori imposibilă.

4. esc_url_raw() în WordPress nu este destinat validării URL-urilor, dar pare să facă o treabă mai bună decât celelalte. Va funcționa pentru caractere non-ASCII, precum și pentru rezolvarea celorlalte probleme discutate anterior. Această funcție va practic sanitiza orice șir de caractere pentru a fi salvat în baza de date WordPress ca un URL, eliminând sau modificând orice caractere care sunt fie invalide, fie malefice. Prin urmare, dacă versiunea sanitizată nu este aceeași cu cea nesanitizată, se poate spune cu încredere că URL-ul nu este valid și, cel mai important, nu este sigur.

Iată cum poate fi făcută verificarea URL-ului cu funcția esc_url_raw(), profitând și de funcția strtolower() pentru a face verificarea insensibilă la majuscule/minuscule.

function validateUrl($url) {
    if ( strtolower(esc_url_raw($url)) === strtolower($url) ) {
        return $url;
    } else {
        return false;
    }
}

Pentru a verifica dacă un URL introdus de utilizator este valid și sigur pentru stocare și afișare ulterioară, sugerez:

esc_url_raw($url) === $url

esc_url_raw(), așa cum a menționat @orionrush mai sus, sanitizează URL-ul prin eliminarea oricăror elemente invalide sau malicioase. Deci, dacă șirul de caractere nu conține nimic invalid sau rău intenționat, atunci este în regulă.

Exemplu:

if( esc_url_raw($url) === $url ) {
   // URL-ul este valid. Folosește-l...
} else {
   // URL-ul este invalid sau malicios. Nu-l utiliza...
}

Am scris un articol mai detaliat pe această temă aici: https://cmljnelson.wordpress.com/2018/08/31/url-validation-in-wordpress/

is_email(), de fapt nu verifică dacă o adresă de email este validă, ci doar dacă respectă specificațiile standard. Adresa de email pe care o ofer cu plăcere pe multe site-uri care arată un interes inutil pentru adresa mea de email este a@b.com - aceasta respectă specificațiile, dar este puțin probabil să fie folosită de cineva.

Cel mai bun mod de a verifica URL-urile este prin trimiterea unei cereri ping. Puteți încerca să verificați conformitatea, dar teoretic există foarte puține limitări în ceea ce poate fi un URL codat.