在指南的開始，我們說過數據過濾在任何語言、任何平臺上都是WEB應用安全的基石。這包含檢驗輸入到應用的數據以及從應用輸出的數據，而一個好的軟件設計可以幫助開發人員做到：
確保數據過濾無法被繞過，
確保不合法的信息不會影響合法的信息，并且
識別數據的來源。
關于如何確保數據過濾無法被繞過有各種各樣的觀點，而其中的兩種觀點比其他更加通用并可提供更高級別的保障。
調度方法
這種方法是用一個單一的 php 腳本調度（通過 URL）。其他任何操作在必要的時候使用include或require包含進來。這種方法一般需要每個 URL 都傳遞一個單獨的GET變量用于調度。這個GET變量可以被認為是用來替代腳本名稱的更加簡化的設計。例如：
?task=PRint_formdispatch.php是唯一的根文件(Document root)。它可以讓開發者做兩件非常重要的事情：
在dispatch.php最開始實現一些全局的安全處理，并且確保這些處理不可以被繞過。
容易確定在必要的地方進行數據過濾，特別是一些特殊目的的控制流操作中。
看下面的例子以便進一步討論dispatch.php腳本:
<?php/* 全局安全處理 */switch ($_GET['task']){case 'print_form':include '/inc/presentation/form.inc';break;case 'process_form':$form_valid = false;include '/inc/logic/process.inc';if ($form_valid){include '/inc/presentation/end.inc';}else{include '/inc/presentation/form.inc';}break;default:include '/inc/presentation/index.inc';break;}?>如果這是唯一的可公開訪問到的 PHP 腳本，則可以確信的一點是這個程序的設計可以確保在最開始的全局安全處理無法被繞過。同時也讓開發者容易看到特定任務的控制流程。例如，不需要瀏覽整個代碼就可以容易的知道：當$form_valid為true時，end.inc是唯一顯示給用戶的；由于它在process.inc被包含之前，并剛剛初始化為false，可以確定的是process.inc的內部邏輯會將設置它為true；否則表單將再次顯示（可能會顯示相關的錯誤信息）。
注意
如果你使用目錄定向文件，如index.php（代替dispatch.php），你可以像這樣使用 URL 地址：?task=print_form。
你還可以使用 ApacheForceType重定向或者mod_rewrite來調整 URL 地址：。
包含方法
另外一種方式是使用單獨一個模塊，這個模塊負責所有的安全處理。這個模塊被包含在所有公開的 PHP 腳本的最前端（或者非常靠前的部分）。參考下面的腳本security.inc

復制代碼 代碼如下:

<?phpswitch ($_POST['form']){case 'login':$allowed = array();$allowed[] = 'form';$allowed[] = 'username';$allowed[] = 'passWord';$sent = array_keys($_POST);if ($allowed == $sent){include '/inc/logic/process.inc';}break;}?>

復制代碼 代碼如下:

<form action="/receive.php" method="POST"><input type="hidden" value="login" /><p>Username:<input type="text" /></p><p>Password:<input type="password" /></p><input type="submit" /></form>

復制代碼 代碼如下:

<?php$clean = array();$email_pattern = '/^[^@/s<&>]+@([-a-z0-9]+/.)+[a-z]{2,}$/i';if (preg_match($email_pattern, $_POST['email'])){$clean['email'] = $_POST['email'];}?>

復制代碼 代碼如下:

[/co<?php$clean = array();switch ($_POST['color']){case 'red':case 'green':case 'blue':$clean['color'] = $_POST['color'];break;}?>de]
下面的代碼確保$_POST['num']是一個整數（integer）：
[code]
<?php$clean = array();if ($_POST['num'] == strval(intval($_POST['num']))){$clean['num'] = $_POST['num'];}?>

復制代碼 代碼如下:

<?php$clean = array();if ($_POST['num'] == strval(floatval($_POST['num']))){$clean['num'] = $_POST['num'];}?>