💡 ULASAN & REFERENSI • DIPERBARUI: 22 October 2026 • REDAKSI AZWINN

Input Sanitization PHP: Teknik & Contoh Kode Aman

Input sanitization pada PHP adalah proses membersihkan data yang dikirimkan oleh pengguna (melalui form, URL, atau cookie) dari karakter berbahaya sebelum data tersebut diproses lebih lanjut oleh aplikasi atau disimpan ke dalam database. Tanpa proses pembersihan yang tepat, aplikasi web rentan terhadap serangan keamanan kritikal seperti Cross-Site Scripting (XSS) dan SQL Injection.

Penerapan sanitasi data melibatkan penggunaan fungsi bawaan PHP seperti filter_var(), htmlspecialchars(), serta teknik prepared statements pada basis data. Pendekatan ini memastikan bahwa karakter khusus seperti tag HTML atau tanda kutip dieetralisir sehingga tidak dieksekusi sebagai kode oleh browser atau server.

Metode dan Fungsi Utama Sanitasi PHP

PHP menyediakan berbagai fungsi spesifik untuk tipe data yang berbeda. Pemilihan fungsi harus disesuaikan dengan format data yang diharapkan, apakah itu string biasa, alamat email, angka, atau URL.

Tipe Data Fungsi PHP Utama Kegunaan & Hasil
String / Teks Umum htmlspecialchars() Mengubah karakter khusus (<, >, &, ", ') menjadi HTML entities untuk mencegah XSS.
Alamat Email filter_var($email, FILTER_SANITIZE_EMAIL) Menghapus karakter ilegal dari alamat email, menyisakan huruf, angka, dan simbol yang diizinkan dalam email.
Angka / Integer filter_var($num, FILTER_SANITIZE_NUMBER_INT) Hanya menyisakan angka, tanda plus (+), dan minus (-).
URL filter_var($url, FILTER_SANITIZE_URL) Menghapus karakter yang tidak diizinkan dalam URL.

Contoh Implementasi Kode PHP

Berikut adalah contoh skrip PHP praktis untuk melakukan sanitasi pada input form berbasis metode POST, mencakup pembersihan teks bebas dan alamat email.

<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // Sanitasi input teks bebas untuk mencegah XSS
    $nama = htmlspecialchars(trim($_POST["nama"]), ENT_QUOTES, 'UTF-8');

    // Sanitasi input email
    $email = filter_var(trim($_POST["email"]), FILTER_SANITIZE_EMAIL);

    // Validasi format email setelah sanitasi
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
        echo "Data berhasil dibersihkan dan valid.<br>";
        echo "Nama: " . $nama . "<br>";
        echo "Email: " . $email;
    } else {
        echo "Format email tidak valid!";
    }
}
?>

Langkah-Langkah Teknis Penerapan Keamanan Input

  1. Identifikasi Sumber Data: Petakan seluruh data yang masuk dari pengguna, baik melalui $_GET, $_POST, $_COOKIE, maupun $_REQUEST.
  2. Terapkan trim(): Hapus spasi di awal dan akhir string untuk menghindari data kosong yang tidak perlu.
  3. Gunakan Sanitasi yang Tepat: Terapkan filter_var atau fungsi pembersihan spesifik sesuai tipe data.
  4. Validasi Setelah Sanitasi: Jangan hanya membersihkan, pastikan juga data yang masuk sesuai dengan aturan bisnis (misalnya panjang karakter atau format tanggal).
  5. Gunakan Prepared Statements: Untuk mencegah SQL Injection, gunakan PDO atau MySQLi dengan prepared statements saat memasukkan data ke database, bukan menggabungkan string query secara langsung.

Troubleshooting & Kesalahan Umum

Kesalahan yang sering terjadi adalah hanya mengandalkan sanitasi di sisi klien (JavaScript). Sanitasi wajib dilakukan di sisi server (PHP) karena input dari klien dapat dimanipulasi dengan mudah menggunakan tools seperti Postman atau cURL. Selain itu, pastikan penggunaan htmlspecialchars() diterapkan saat data akan ditampilkan kembali ke browser, bukan saat data pertama kali masuk ke database.

🔍 Orang Lain Juga Mencari Ini