Как проверить, является ли строка допустимым URL

Я нашёл функцию wp_http_validate_url очень удобной для проверки, является ли строка валидным URL, во время работы над своим проектом.

Ознакомьтесь с документацией: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

Например:

$val = 'http://somevalidurl.com';
if ( wp_http_validate_url( $val ) ) {

    // Это валидный URL;

} else {

    // Это НЕ валидный URL;

}

Функция возвращает сам URL, если он валиден, в противном случае — false.

Я знаю, что это старая запись, но для тех, кто ее читает, стоит также рассмотреть функции WordPress esc_url() и esc_url_raw(). Последняя безопасна для записи в базы данных и т.д., так как не кодирует сущности. esc_url() кодирует сущности и поэтому хорошо подходит для отображения пользователям.

В исходном коде можно увидеть, что esc_url() проверяет URL на соответствие белого списка разрешенных протоколов и структуры, тем самым избегая некоторых уязвимостей FILTER_VALIDATE_URL, упомянутых в ссылке от @tobltobs.

По моему мнению, лучше использовать wp_http_validate_url.

Пример 1:

filter_var( '//website.com', FILTER_VALIDATE_URL )

Возвращает false.

Пример 2:

wp_http_validate_url( '//website.com' )

Возвращает URL.

1. Если вы не знаете, использует ли сайт протокол https или http, лучше использовать '//'.
2. wp_http_validate_url улучшена разработчиками WordPress (более специфична).
3. Вы можете улучшить или изменить wp_http_validate_url с помощью хуков (фильтров и действий). Вы не можете использовать хуки для filter_var.

Ссылка: https://developer.wordpress.org/reference/functions/wp_http_validate_url/

Ссылка: https://www.php.net/manual/en/function.filter-var.php

Давайте рассмотрим наши варианты для проверки URL в WordPress, начиная с самых очевидных.

1. filter_var() с фильтром FILTER_VALIDATE_URL в PHP не работает с интернационализированными доменными именами, содержащими символы не из ASCII, такие как http://스타벅스코리아.com. У него также есть другие проблемы, как отмечал Дэвид Мюллер, например, принятие http://example.com/"><script>alert("xss")</script> за валидный URL, хотя он явно вредоносный.

2. wp_http_validate_url() в WordPress может справляться лучше, хотя изначально эта функция предназначалась для использования в HTTP API, а не для общей проверки URL. Однако она всё равно не решает две конкретные проблемы, упомянутые ранее.

3. preg_match() в PHP может работать или нет. Написание регулярных выражений, предугадывающих все возможные сценарии, не всегда является идеальным решением, и добиться универсальной правильности может быть сложно.

4. esc_url_raw() в WordPress не предназначена для проверки URL, но, кажется, справляется с этой задачей лучше других. Она работает с не-ASCII символами, а также решает другие упомянутые проблемы. Эта функция санирует любую строку для сохранения в базе данных WordPress в качестве URL, удаляя или изменяя символы, которые являются недопустимыми или вредоносными. Таким образом, если санированная версия не совпадает с исходной, можно с уверенностью сказать, что URL невалиден и, что важнее всего, небезопасен.

Вот как можно проверить URL с помощью функции esc_url_raw(), дополнительно используя strtolower() для регистронезависимой проверки.

function validateUrl($url) {
    if ( strtolower(esc_url_raw($url)) === strtolower($url) ) {
        return $url;
    } else {
        return false;
    }
}

Чтобы убедиться, что URL, предоставленный пользователем, является действительным и безопасным для хранения и последующего отображения, я предлагаю:

esc_url_raw($url) === $url

esc_url_raw(), как упомянул @orionrush выше, санирует URL, удаляя из него всё недопустимое или вредоносное. Таким образом, если строка не содержит ничего недопустимого или вредоносного, значит она в порядке.

Например:

if( esc_url_raw($url) === $url ) {
   // URL действителен. Используйте его...
} else {
   // URL недействителен или вредоносен. Не используйте его...
}

Я написал более подробную статью на эту тему здесь: https://cmljnelson.wordpress.com/2018/08/31/url-validation-in-wordpress/

is_email() на самом деле не проверяет, действителен ли email-адрес, а только соответствует ли он спецификации. Email, который я с удовольствием указываю на многих сайтах, проявляющих бесполезный интерес к моему email-адресу — это a@b.com, который соответствует спецификации, но маловероятно, что кто-то им пользуется.

Проверка URL лучше всего осуществляется через пингование. Можно попытаться проверить соответствие спецификации, но теоретически существует очень мало ограничений на то, каким может быть закодированный URL.