PHP Formulare: verarbeiten, validieren, erneut anzeigen

Ein PHP-Formular sendet an das Skript zurück, das es ausgegeben hat: Schreib <form method="post"> mit benannten Eingabefeldern, und wenn $_SERVER['REQUEST_METHOD'] gleich 'POST' ist, liest du jedes Feld als $_POST['name']. Escape alles, was du zurückgibst, mit htmlspecialchars().

Führe diesen Block aus, tippe einen Namen ins Formular und klicke auf Send: Dasselbe Skript läuft erneut, diesmal mit gefülltem $_POST.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Hier passieren drei Dinge, die jeder Formular-Handler braucht:

• Die Prüfung der Methode. Beim ersten Besuch ist die Anfrage ein GET, und es gibt nichts zu verarbeiten. ?? 'GET' spielt nur eine Rolle, wenn die Datei auf der Kommandozeile läuft, wo REQUEST_METHOD nicht gesetzt ist; auf einem Webserver ist es das immer.
• ?? '' bei jedem Feld. Ein Feld kann fehlen (ein umbenanntes Eingabefeld, eine Anfrage von einem Skript), und einen fehlenden Schlüssel zu lesen gibt eine Warnung aus.
• Escapen bei der Ausgabe. Der Name kommt zweimal zurück in die Seite, und htmlspecialchars() sorgt dafür, dass ein Wert wie <b>Ada</b> als Text angezeigt wird, statt zu Markup zu werden. Die Details stehen auf der Seite zu htmlspecialchars.

Ein Formular validieren und Fehler neben den Feldern zeigen

Sammle Fehler in einem Array mit dem Feldnamen als Schlüssel. Ist das Array leer, ist das Formular gültig; sonst gibst du das Formular erneut aus, mit jeder Meldung unter ihrem Feld und den Eingaben des Besuchers an Ort und Stelle. Sende es leer ab, dann mit einer ungültigen E-Mail, dann mit gültigen Werten.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate schaltet die eigenen Prüfungen des Browsers ab, damit du die PHP-Prüfungen arbeiten siehst. Behalte in einem echten Formular beide: Die Browser-Validierung ist eine Bequemlichkeit für den Besucher, die PHP-Validierung ist die, die zählt, denn jeder kann eine Anfrage ohne dein Formular senden. filter_var() erledigt die E-Mail und den Ganzzahlbereich mit je einem Aufruf; die Seite zu filter_var behandelt seine anderen Filter.

Checkboxen, Radiobuttons und Select

Ein Textfeld sendet immer einen Wert, auch einen leeren. Die anderen Steuerelemente nicht:

• Eine nicht angehakte Checkbox sendet gar nichts, also fehlt ihr Schlüssel in $_POST.
• Checkboxen mit dem Namen topics[] kommen als Array an: $_POST['topics'] ist ['php', 'sql'].
• Eine Radiogruppe oder ein <select> sendet den value der gewählten Option.

Um die Auswahl nach dem Absenden zu behalten, gibst du bei der passenden Option checked oder selected aus. Hak ein paar Boxen an, wähle eine Stufe und klicke auf Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Die zwei Prüfungen nach dem Lesen der Eingabe sind wichtiger, als sie aussehen. array_intersect() verwirft jedes Thema, das nicht auf deiner Liste stand, und die Prüfung mit is_string() plus array_key_exists() setzt die Stufe auf einen Standardwert zurück, wenn jemand einen Wert sendet, den du nie angeboten hast (oder ein Array, bei dem $levels[$level] werfen würde). Ein Select begrenzt, was ein Browser senden kann, nicht, was eine Anfrage enthalten kann.

Mehrstufige Formulare mit versteckten Feldern

Ein verstecktes Eingabefeld trägt einen Wert von einem Schritt zum nächsten, ohne ihn anzuzeigen. Hier fragt Schritt 1 nach einem Namen, Schritt 2 nach einer Sprache und schickt den Namen in einem versteckten Feld mit, und Schritt 3 zeigt beides. Geh alle drei Schritte durch.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Versteckte Felder sind im Seitenquelltext sichtbar und lassen sich wie jedes andere Feld bearbeiten, also sind sie in Ordnung, um die eigenen Antworten des Besuchers zwischen Schritten zu tragen, aber nie für einen Preis, eine Nutzer-ID oder eine Rolle. Behalte so etwas auf dem Server, in einer Session; siehe Sessions und Cookies.

Post/Redirect/Get: das erneute Senden beim Neuladen stoppen

Gibt das Skript nach einem erfolgreichen POST direkt eine Dankeseite aus, bittet ein Neuladen den Browser, den POST erneut zu senden, und die Bestellung oder der Kommentar wird zweimal gespeichert. Die Lösung ist: speichern, weiterleiten und das Ergebnis per GET zeigen:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other sagt dem Browser, der Weiterleitung mit einem GET zu folgen. exit nach header() ist wichtig: Ohne läuft der Rest des Skripts weiter. Die Weiterleitung muss außerdem vor jeder Ausgabe passieren, sonst verweigert PHP sie mit „headers already sent“.

Echte Formulare fügen außerdem ein CSRF-Token hinzu: ein Zufallswert, der in der Session und in einem versteckten Feld gespeichert und beim Absenden mit hash_equals() verglichen wird, damit eine andere Website nicht im Namen eines angemeldeten Besuchers an dein Formular senden kann.

Die Validierung ohne Browser testen

Pack die Regeln in eine Funktion, die ein Array nimmt und die Fehler liefert. Die Seite ruft sie mit $_POST auf, und du kannst sie mit jedem beliebigen Array aufrufen, was die Sonderfälle leicht ausprobierbar macht. Füge der Liste deine eigenen Fälle hinzu.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Den vierten Fall vergessen viele. Eine Anfrage kann name[]=x senden, wodurch $_POST['name'] ein Array wird, und ein Array an trim() zu übergeben wirft einen TypeError und stoppt das Skript. Vorher is_string() zu prüfen, macht aus feindlicher Eingabe einen gewöhnlichen Validierungsfehler. Der Cast (string) in den früheren Blöcken vermeidet den TypeError auch, verwandelt das Array aber in das Wort Array und gibt eine Warnung aus, also ist is_string() die sauberere Prüfung.

Typischer Fehler: $_POST lesen, bevor das Formular gesendet wurde

Das häufigste erste Formularskript liest die Felder am Anfang der Datei:

<?php
$name = $_POST['name'];
echo "Hello, $name";

Beim ersten Besuch wurde nichts gesendet, also gibt PHP aus:

Warning: Undefined array key "name" in /var/www/form.php on line 2

Die Lösung ist das Muster aus dem ersten Block: Verarbeite das Formular nur, wenn die Anfrage ein POST ist, und lies jedes Feld mit einem Standardwert, $_POST['name'] ?? ''. Erscheint die Warnung nach dem Absenden, vergleiche das Attribut name im HTML mit dem Schlüssel in PHP: name="Name" und $_POST['name'] sind verschiedene Schlüssel.