PHP $_GET et $_POST : lire l'URL et les formulaires

$_GET est un tableau de la query string de l'URL, donc article.php?id=42&lang=en donne $_GET['id'] === '42' et $_GET['lang'] === 'en'. $_POST est un tableau des champs d'un formulaire envoyé avec method="post". Lisez les deux avec une valeur par défaut, $_GET['id'] ?? null, car la clé manque dès que le paramètre manque.

Exécutez le bloc, puis cliquez sur les liens : chaque clic relance le script avec $_GET rempli à partir de la query string du lien.

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] vaut ce que dit l'URL, pas seulement les trois liens que vous avez affichés. N'importe qui peut taper ?lang=<script> dans la barre d'adresse, c'est pourquoi le bloc cherche la valeur dans $languages au lieu de l'afficher, et échappe le seul endroit où il affiche des données de requête.

Lire un nombre dans la query string

Chaque valeur de $_GET est une chaîne. Pour un numéro de page, validez et convertissez en une étape avec filter_var() et rabattez-vous sur une valeur par défaut quand la valeur manque, n'est pas un nombre ou sort de la plage. Parcourez les pages, puis essayez les liens Page 999 et Page abc.

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

filter_var() renvoie l'entier 3 pour "3" et l'option default pour toute autre chaîne, donc $page est toujours un int utilisable. La page filter_var liste les autres validateurs.

Lire les données d'un formulaire avec $_POST

Un formulaire avec method="post" envoie ses champs dans le corps de la requête, et PHP les place dans $_POST sous le name de chaque champ. $_SERVER['REQUEST_METHOD'] vous dit si la requête courante est la première visite (GET) ou un envoi (POST). Remplissez le formulaire et cliquez sur Send pour voir les deux.

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

Un champ texte vide est quand même envoyé, sous la forme "", donc après un envoi $_POST['title'] existe même si le visiteur n'a rien tapé. Sur un serveur, REQUEST_METHOD est toujours défini ; le ?? 'GET' sert seulement à garder le script silencieux quand vous exécutez le fichier avec php en ligne de commande. Le modèle complet pour valider et réafficher un formulaire est sur la page des formulaires.

Un formulaire de recherche avec method="get"

Utilisez GET pour un formulaire dont le résultat doit être une URL partageable, comme un champ de recherche. Le navigateur transforme les champs en query string (?q=sort&level=beginner) et le script les lit dans $_GET, exactement comme un lien. Cherchez array ou string.

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

Construire des liens avec http_build_query

Écrire "?q=$q&page=2" à la main casse dès que $q contient un espace, un & ou un #. http_build_query() encode chaque valeur pour vous, et le résultat passe par htmlspecialchars() quand il atterrit dans un href, car & doit devenir & dans du HTML.

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

parse_str() avec deux arguments est la façon dont PHP construit $_GET à partir d'une query string, c'est donc pratique pour tester. Passez toujours le second argument ; l'ancienne forme à un argument qui créait des variables a été supprimée en PHP 8.

$_REQUEST et pourquoi l'éviter

$_REQUEST est la fusion de $_GET et $_POST en un seul tableau. Les fichiers php.ini fournis avec PHP définissent request_order = "GP", donc quand les deux contiennent la même clé, POST l'emporte ; sans ce réglage, les cookies sont aussi fusionnés :

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

Cela semble pratique, mais cela cache l'origine d'une valeur. Un traitement qui supprime un enregistrement à partir de $_REQUEST['id'] peut être déclenché par un simple lien, exactement ce que les actions réservées à POST doivent empêcher. Lisez plutôt $_GET ou $_POST par leur nom.

GET ou POST : lequel utiliser

La règle qui compte : une requête GET ne doit rien modifier. Les navigateurs préchargent les liens, les robots les suivent et les gens les partagent, donc un lien ?delete=5 finira par être suivi par quelque chose qui n'était pas censé supprimer. Aucune des deux méthodes n'est chiffrée en elle-même : HTTPS protège les deux, et POST ne fait que garder les données hors de l'URL, de l'historique du navigateur et des journaux du serveur.