معالجة النماذج في PHP: الإرسال والتحقق وإعادة العرض

يُرسل نموذج PHP إلى السكربت الذي طبعه: اكتب <form method="post"> مع حقول مسماة، وعندما تكون $_SERVER['REQUEST_METHOD'] مساوية لـ 'POST'، اقرأ كل حقل على شكل $_POST['name']. وهرّب كل ما تطبعه مرة أخرى بـ htmlspecialchars().

شغّل هذه الكتلة، واكتب اسمًا في النموذج واضغط Send: يعمل السكربت نفسه مرة أخرى، هذه المرة مع امتلاء $_POST.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

تحدث هنا ثلاثة أمور يحتاجها كل معالج نماذج:

• فحص طريقة الطلب. في الزيارة الأولى يكون الطلب GET ولا شيء يُعالج. ولا تهم ?? 'GET' إلا حين يعمل الملف من سطر الأوامر، حيث لا تكون REQUEST_METHOD مضبوطة؛ أما على خادم ويب فهي مضبوطة دائمًا.
• ?? '' على كل حقل. قد يكون حقل مفقودًا (حقل أُعيدت تسميته، أو طلب أرسله سكربت)، وقراءة مفتاح مفقود تطبع تحذيرًا.
• التهريب عند الإخراج. يعود الاسم إلى الصفحة مرتين، وتضمن htmlspecialchars() أن تُعرض قيمة مثل <b>Ada</b> نصًا بدل أن تصبح وسومًا. والتفاصيل في صفحة htmlspecialchars.

التحقق من نموذج وعرض الأخطاء بجانب الحقول

اجمع الأخطاء في مصفوفة مفاتيحها أسماء الحقول. إذا كانت المصفوفة فارغة، فالنموذج صالح؛ وإلا فاطبع النموذج مرة أخرى مع كل رسالة تحت حقلها ومُدخلات الزائر ما زالت في مكانها. أرسله فارغًا، ثم ببريد خاطئ، ثم بقيم صالحة.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

يوقف novalidate فحوص المتصفح الخاصة لتشاهد فحوص PHP وهي تعمل. واحتفظ بالاثنين في نموذج حقيقي: تحقق المتصفح راحة للزائر، وتحقق PHP هو الذي يُعتد به، لأن أي شخص يستطيع إرسال طلب دون نموذجك. تفحص filter_var() البريد ونطاق العدد الصحيح باستدعاء واحد لكل منهما؛ وتشرح صفحة filter_var مرشحاتها الأخرى.

مربعات الاختيار وأزرار الراديو والقوائم المنسدلة

يرسل الحقل النصي قيمة دائمًا، ولو فارغة. أما عناصر التحكم الأخرى فلا:

• مربع الاختيار غير المحدد لا يرسل شيئًا أصلًا، فيكون مفتاحه مفقودًا من $_POST.
• مربعات الاختيار المسماة topics[] تصل مصفوفةً: $_POST['topics'] هي ['php', 'sql'].
• ترسل مجموعة الراديو أو <select> قيمة value للخيار المختار.

للاحتفاظ بالاختيار بعد الإرسال، اطبع checked أو selected على الخيار المطابق. حدّد بضعة مربعات، واختر مستوى واضغط Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

للفحصين بعد قراءة المُدخلات أهمية أكبر مما يبدو. تُسقط array_intersect() أي موضوع لم يكن في قائمتك، ويعيد فحص is_string() مع array_key_exists() المستوى إلى قيمة افتراضية إذا أرسل أحدهم قيمة لم تعرضها أبدًا (أو مصفوفة، ستجعل $levels[$level] ترمي خطأً). القائمة المنسدلة تحدّ ما يستطيع المتصفح إرساله، لا ما يمكن أن يحتويه الطلب.

نماذج متعددة الخطوات بالحقول المخفية

يحمل الحقل المخفي قيمة من خطوة إلى التالية دون عرضها. هنا تطلب الخطوة 1 اسمًا، وتطلب الخطوة 2 لغة وترسل الاسم معها في حقل مخفي، وتعرض الخطوة 3 كليهما. مرّ بالخطوات الثلاث.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

الحقول المخفية مرئية في مصدر الصفحة وقابلة للتعديل مثل أي حقل آخر، لذا فهي مناسبة لحمل إجابات الزائر نفسه بين الخطوات، لكن ليس أبدًا لسعر أو معرّف مستخدم أو دور. احتفظ بتلك على الخادم، في جلسة؛ راجع الجلسات وملفات تعريف الارتباط.

Post/Redirect/Get: منع إعادة الإرسال عند التحديث

بعد POST ناجح، إذا طبع السكربت صفحة «شكرًا» مباشرة، فإن الضغط على التحديث يطلب من المتصفح إرسال POST مرة أخرى، فيُحفظ الطلب أو التعليق مرتين. والحل أن تحفظ، ثم تحوّل، ثم تعرض النتيجة في GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

يخبر 303 See Other المتصفح باتباع التحويل بطلب GET. ولـ exit بعد header() أهمية: دونها تواصل بقية السكربت العمل. ويجب أيضًا أن يحدث التحويل قبل أي مخرجات، وإلا رفضت PHP برسالة "headers already sent".

تضيف النماذج الحقيقية أيضًا رمز CSRF: قيمة عشوائية مخزنة في الجلسة وفي حقل مخفي، تُقارن بـ hash_equals() عند الإرسال، فلا يستطيع موقع آخر الإرسال إلى نموذجك نيابة عن زائر مسجل دخوله.

اختبار التحقق دون متصفح

ضع القواعد في دالة تأخذ مصفوفة وتعيد الأخطاء. تستدعيها الصفحة بـ $_POST، ويمكنك أن تستدعيها بأي مصفوفة تشاء، وهذا يجعل تجربة الحالات الحدية سهلة. أضف حالاتك الخاصة إلى القائمة.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

الحالة الرابعة هي التي ينساها الناس. يمكن للطلب إرسال name[]=x، فتصبح $_POST['name'] مصفوفة، وتمرير مصفوفة إلى trim() يرمي TypeError ويوقف السكربت. وفحص is_string() أولًا يحوّل المُدخلات العدائية إلى خطأ تحقق عادي. ويتجنب التحويل (string) في الكتل السابقة الخطأ TypeError أيضًا، لكنه يحوّل المصفوفة إلى الكلمة Array ويطبع تحذيرًا، لذا فإن is_string() هو الفحص الأنظف.

خطأ شائع: قراءة $_POST قبل إرسال النموذج

أشهر سكربت نماذج أول يقرأ الحقول في أعلى الملف:

<?php
$name = $_POST['name'];
echo "Hello, $name";

في الزيارة الأولى لم يُرسل شيء، فتطبع PHP:

Warning: Undefined array key "name" in /var/www/form.php on line 2

الحل هو النمط من الكتلة الأولى: لا تعالج النموذج إلا حين يكون الطلب POST، واقرأ كل حقل مع قيمة افتراضية، $_POST['name'] ?? ''. وإذا ظهر التحذير بعد الإرسال، فقارن الخاصية name في HTML بالمفتاح في PHP: name="Name" و$_POST['name'] مفتاحان مختلفان.