Formulaires PHP : traiter, valider et réafficher

Un formulaire PHP s'envoie au script qui l'a affiché : écrivez <form method="post"> avec des champs nommés, et quand $_SERVER['REQUEST_METHOD'] vaut 'POST', lisez chaque champ avec $_POST['name']. Échappez tout ce que vous réaffichez avec htmlspecialchars().

Exécutez ce bloc, tapez un nom dans le formulaire et cliquez sur Send : le même script s'exécute à nouveau, cette fois avec $_POST rempli.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Trois choses se passent ici, dont tout traitement de formulaire a besoin :

• La vérification de la méthode. À la première visite, la requête est un GET et il n'y a rien à traiter. ?? 'GET' ne compte que quand le fichier s'exécute en ligne de commande, où REQUEST_METHOD n'est pas défini ; sur un serveur web, il l'est toujours.
• ?? '' sur chaque champ. Un champ peut manquer (un champ renommé, une requête envoyée par un script), et lire une clé manquante affiche un warning.
• L'échappement à l'affichage. Le nom revient deux fois dans la page, et htmlspecialchars() garantit qu'une valeur comme <b>Ada</b> s'affiche en texte au lieu de devenir du balisage. Les détails sont sur la page htmlspecialchars.

Valider un formulaire et afficher les erreurs à côté des champs

Rassemblez les erreurs dans un tableau indexé par nom de champ. Si le tableau est vide, le formulaire est valide ; sinon, réaffichez le formulaire avec chaque message sous son champ et la saisie du visiteur toujours en place. Envoyez-le vide, puis avec un email invalide, puis avec des valeurs valides.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate désactive les vérifications du navigateur pour que vous voyiez fonctionner celles de PHP. Gardez les deux dans un vrai formulaire : la validation du navigateur est un confort pour le visiteur, la validation PHP est celle qui compte, car n'importe qui peut envoyer une requête sans votre formulaire. filter_var() traite l'email et la plage d'entiers en un appel chacun ; la page filter_var présente ses autres filtres.

Cases à cocher, boutons radio et listes déroulantes

Un champ texte envoie toujours une valeur, même vide. Les autres contrôles non :

• Une case non cochée n'envoie rien du tout, sa clé manque donc dans $_POST.
• Des cases nommées topics[] arrivent sous forme de tableau : $_POST['topics'] vaut ['php', 'sql'].
• Un groupe radio ou un <select> envoie la value de l'option choisie.

Pour garder le choix après l'envoi, affichez checked ou selected sur l'option qui correspond. Cochez quelques cases, choisissez un niveau et cliquez sur Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Les deux vérifications après la lecture de la saisie comptent plus qu'il n'y paraît. array_intersect() écarte tout sujet absent de votre liste, et la vérification is_string() plus array_key_exists() remet le niveau à une valeur par défaut si quelqu'un envoie une valeur que vous n'avez jamais proposée (ou un tableau, ce qui ferait lever une erreur à $levels[$level]). Une liste déroulante limite ce qu'un navigateur peut envoyer, pas ce qu'une requête peut contenir.

Formulaires en plusieurs étapes avec des champs cachés

Un champ caché transporte une valeur d'une étape à la suivante sans l'afficher. Ici, l'étape 1 demande un nom, l'étape 2 demande une langue et transmet le nom dans un champ caché, et l'étape 3 affiche les deux. Parcourez les trois étapes.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Les champs cachés sont visibles dans le code source de la page et modifiables comme n'importe quel champ, ils conviennent donc pour transporter les réponses du visiteur entre les étapes, mais jamais pour un prix, un identifiant d'utilisateur ou un rôle. Gardez ceux-là sur le serveur, dans une session ; voir sessions et cookies.

Post/Redirect/Get : éviter le renvoi à l'actualisation

Après un POST réussi, si le script affiche directement une page « merci », actualiser demande au navigateur de renvoyer le POST, et la commande ou le commentaire est enregistré deux fois. La solution est d'enregistrer, de rediriger, et d'afficher le résultat sur un GET :

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other indique au navigateur de suivre la redirection avec un GET. Le exit après header() compte : sans lui, le reste du script continue de s'exécuter. La redirection doit aussi avoir lieu avant toute sortie, sinon PHP refuse avec « headers already sent ».

Les vrais formulaires ajoutent aussi un jeton CSRF : une valeur aléatoire stockée dans la session et dans un champ caché, comparée avec hash_equals() à l'envoi, pour qu'un autre site ne puisse pas envoyer votre formulaire au nom d'un visiteur connecté.

Tester la validation sans navigateur

Placez les règles dans une fonction qui prend un tableau et renvoie les erreurs. La page l'appelle avec $_POST, et vous pouvez l'appeler avec n'importe quel tableau, ce qui rend les cas limites faciles à essayer. Ajoutez vos propres cas à la liste.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Le quatrième cas est celui qu'on oublie. Une requête peut envoyer name[]=x, ce qui fait de $_POST['name'] un tableau, et passer un tableau à trim() lève une TypeError et arrête le script. Vérifier d'abord is_string() transforme une saisie hostile en erreur de validation ordinaire. Le cast (string) des blocs précédents évite aussi la TypeError, mais transforme le tableau en mot Array et affiche un warning, is_string() est donc la vérification la plus propre.

Erreur fréquente : lire $_POST avant l'envoi du formulaire

Le premier script de formulaire le plus courant lit les champs en haut du fichier :

<?php
$name = $_POST['name'];
echo "Hello, $name";

À la première visite, rien n'a été envoyé, donc PHP affiche :

Warning: Undefined array key "name" in /var/www/form.php on line 2

La solution est le modèle du premier bloc : ne traiter le formulaire que si la requête est un POST, et lire chaque champ avec une valeur par défaut, $_POST['name'] ?? ''. Si le warning apparaît après l'envoi, comparez l'attribut name du HTML avec la clé en PHP : name="Name" et $_POST['name'] sont des clés différentes.