$_GET و$_POST في PHP: قراءة نص الاستعلام وبيانات النماذج

$_GET مصفوفة نص الاستعلام في الرابط، فيعطي article.php?id=42&lang=en القيمتين $_GET['id'] === '42' و$_GET['lang'] === 'en'. و$_POST مصفوفة حقول نموذج أُرسل بـ method="post". اقرأ كلتيهما مع قيمة افتراضية، $_GET['id'] ?? null، لأن المفتاح يكون مفقودًا كلما كان المعامل مفقودًا.

شغّل الكتلة، ثم انقر على الروابط: كل نقرة تشغّل السكربت مرة أخرى مع ملء $_GET من نص الاستعلام في الرابط.

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] هي ما يقوله الرابط أيًّا كان، لا الروابط الثلاثة التي طبعتها فقط. يستطيع أي شخص كتابة ?lang=<script> في شريط العنوان، ولهذا تبحث الكتلة عن القيمة في $languages بدل طباعتها، وتهرّب الموضع الوحيد الذي تطبع فيه بيانات الطلب.

قراءة عدد من نص الاستعلام

كل قيمة في $_GET نص. لرقم صفحة، تحقق وحوّل في خطوة واحدة بـ filter_var() وارجع إلى قيمة افتراضية حين تكون القيمة مفقودة، أو ليست عددًا، أو خارج النطاق. انتقل بين الصفحات، ثم جرّب رابطي Page 999 وPage abc.

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

تعيد filter_var() العدد الصحيح 3 لـ "3" وقيمة الخيار default لأي نص آخر، فتكون $page دائمًا عددًا صحيحًا قابلًا للاستخدام. وتسرد صفحة filter_var أدوات التحقق الأخرى.

قراءة بيانات النموذج بـ $_POST

يرسل النموذج ذو method="post" حقوله في جسم الطلب، وتضعها PHP في $_POST تحت name كل حقل. وتخبرك $_SERVER['REQUEST_METHOD'] إن كان الطلب الحالي الزيارة الأولى (GET) أم إرسالًا (POST). املأ النموذج واضغط Send لترى الحالتين.

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

الحقل النصي الفارغ يُرسل مع ذلك، على شكل ""، لذا بعد الإرسال تكون $_POST['title'] موجودة حتى لو لم يكتب الزائر شيئًا. وعلى الخادم تكون REQUEST_METHOD مضبوطة دائمًا؛ ولا تفعل ?? 'GET' إلا إبقاء السكربت هادئًا حين تشغّل الملف بـ php من سطر الأوامر. والنمط الكامل للتحقق من نموذج وإعادة عرضه موجود في صفحة النماذج.

نموذج بحث بـ method="get"

استخدم GET لنموذج يجب أن تكون نتيجته رابطًا قابلًا للمشاركة، مثل مربع بحث. يحوّل المتصفح الحقول إلى نص استعلام (?q=sort&level=beginner) ويقرؤها السكربت من $_GET، تمامًا مثل الرابط. ابحث عن array أو string.

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

بناء الروابط بـ http_build_query

كتابة "?q=$q&page=2" يدويًا تنكسر حالما تحتوي $q مسافة أو & أو #. ترمّز http_build_query() كل قيمة نيابة عنك، وتمر النتيجة عبر htmlspecialchars() حين تقع في href، لأن & يجب أن تكون & داخل HTML.

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

parse_str() مع وسيطين هي طريقة PHP في بناء $_GET من نص استعلام، لذا فهي مفيدة للاختبار. مرّر دائمًا الوسيط الثاني؛ فالصيغة القديمة ذات الوسيط الواحد التي كانت تنشئ متغيرات حُذفت في PHP 8.

$_REQUEST ولماذا تتجنبها

$_REQUEST هي $_GET و$_POST مدموجتين في مصفوفة واحدة. تضبط ملفات php.ini التي تأتي مع PHP القيمة request_order = "GP"، فحين تحتوي الاثنتان المفتاح نفسه، يفوز POST؛ ودون ذلك الإعداد، تُدمج ملفات تعريف الارتباط أيضًا:

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

تبدو مريحة، لكنها تخفي مصدر القيمة. المعالج الذي يحذف سجلًا بناءً على $_REQUEST['id'] يمكن تشغيله برابط عادي، وهذا بالضبط ما وُجدت الإجراءات المقصورة على POST لمنعه. اقرأ $_GET أو $_POST بالاسم بدلًا من ذلك.

GET مقابل POST: أيهما تستخدم

القاعدة المهمة: طلب GET يجب ألا يغيّر أي شيء. تجلب المتصفحات الروابط مسبقًا، وتتبعها برامج الزحف، ويشاركها الناس، لذا سيتبع رابطَ ?delete=5 في النهاية شيءٌ لم يكن المقصود منه الحذف. ولا تُشفَّر أي من الطريقتين وحدها: يحمي HTTPS الاثنتين، ولا يفعل POST إلا إبقاء البيانات خارج الرابط وسجل المتصفح وسجلات الخادم.