PHP $_GET und $_POST: Query-Strings und Formulardaten

$_GET ist ein Array aus dem Query-String der URL, also ergibt article.php?id=42&lang=en die Werte $_GET['id'] === '42' und $_GET['lang'] === 'en'. $_POST ist ein Array aus den Feldern eines Formulars, das mit method="post" gesendet wurde. Lies beide mit einem Standardwert, $_GET['id'] ?? null, denn der Schlüssel fehlt, wann immer der Parameter fehlt.

Führe den Block aus und klicke dann auf die Links: Jeder Klick führt das Skript erneut aus, mit $_GET aus dem Query-String des Links.

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] ist das, was in der URL steht, nicht nur die drei Links, die du ausgegeben hast. Jeder kann ?lang=<script> in die Adressleiste tippen, und deshalb schlägt der Block den Wert in $languages nach, statt ihn auszugeben, und escapt die eine Stelle, an der er Request-Daten ausgibt.

Eine Zahl aus dem Query-String lesen

Jeder Wert in $_GET ist ein String. Für eine Seitennummer validierst und wandelst du in einem Schritt mit filter_var() um und fällst auf einen Standardwert zurück, wenn der Wert fehlt, keine Zahl ist oder außerhalb des Bereichs liegt. Klick dich durch die Seiten und probier dann die Links Page 999 und Page abc.

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

filter_var() liefert die Ganzzahl 3 für "3" und für jeden anderen String die Option default, also ist $page immer ein brauchbarer int. Die Seite zu filter_var listet die anderen Validatoren auf.

Formulardaten mit $_POST lesen

Ein Formular mit method="post" sendet seine Felder im Request-Body, und PHP legt sie unter dem name jedes Eingabefelds in $_POST ab. $_SERVER['REQUEST_METHOD'] sagt dir, ob die aktuelle Anfrage der erste Besuch (GET) oder ein Absenden (POST) ist. Füll das Formular aus und klicke auf Send, um beides zu sehen.

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

Ein leeres Textfeld wird trotzdem gesendet, als "", also existiert $_POST['title'] nach einem Absenden, selbst wenn der Besucher nichts getippt hat. Auf einem Server ist REQUEST_METHOD immer gesetzt; das ?? 'GET' hält das Skript nur ruhig, wenn du die Datei mit php auf der Kommandozeile ausführst. Das vollständige Muster zum Validieren und erneuten Anzeigen eines Formulars steht auf der Seite zu Formularen.

Ein Suchformular mit method="get"

Verwende GET für ein Formular, dessen Ergebnis eine teilbare URL sein soll, etwa ein Suchfeld. Der Browser macht aus den Feldern einen Query-String (?q=sort&level=beginner), und das Skript liest sie aus $_GET, genau wie bei einem Link. Such nach array oder string.

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

Links mit http_build_query bauen

"?q=$q&page=2" von Hand zu schreiben geht kaputt, sobald $q ein Leerzeichen, & oder # enthält. http_build_query() kodiert jeden Wert für dich, und das Ergebnis läuft durch htmlspecialchars(), wenn es in einem href landet, denn & sollte in HTML & sein.

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

parse_str() mit zwei Argumenten ist der Weg, wie PHP $_GET aus einem Query-String baut, und ist damit praktisch zum Testen. Übergib immer das zweite Argument; die alte Form mit einem Argument, die Variablen erzeugt hat, wurde in PHP 8 entfernt.

$_REQUEST und warum du es meiden solltest

$_REQUEST ist $_GET und $_POST zu einem Array zusammengeführt. Die php.ini-Dateien, die PHP mitliefert, setzen request_order = "GP", also gewinnt POST, wenn beide denselben Schlüssel enthalten; ohne diese Einstellung werden auch Cookies hineingemischt:

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

Es wirkt bequem, versteckt aber, woher ein Wert kam. Ein Handler, der bei $_REQUEST['id'] einen Datensatz löscht, lässt sich durch einen einfachen Link auslösen, und genau das sollen Aktionen nur über POST verhindern. Lies stattdessen $_GET oder $_POST beim Namen.

GET vs POST: was du verwenden solltest

Die Regel, die zählt: Eine GET-Anfrage darf nichts ändern. Browser laden Links vorab, Crawler folgen ihnen, und Leute teilen sie, also wird einem Link ?delete=5 irgendwann etwas folgen, das nichts löschen sollte. Keine der beiden Methoden ist für sich verschlüsselt: HTTPS schützt beide, und POST hält die Daten nur aus der URL, dem Browserverlauf und den Server-Logs heraus.