טפסים ב-PHP: עיבוד, אימות והצגה מחדש

טופס PHP שולח בחזרה לסקריפט שהדפיס אותו: כתבו <form method="post"> עם שדות שיש להם שם, וכש-$_SERVER['REQUEST_METHOD'] הוא 'POST', קראו כל שדה כ-$_POST['name']. בצעו escape עם htmlspecialchars() לכל דבר שאתם מדפיסים בחזרה.

הריצו את הבלוק, הקלידו שם בטופס ולחצו על Send: אותו סקריפט ירוץ שוב, הפעם כש-$_POST מלא.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

שלושה דברים קורים כאן שכל מטפל בטפסים צריך:

• בדיקת ה-method. בביקור הראשון הבקשה היא GET ואין מה לעבד. ?? 'GET' חשוב רק כשהקובץ רץ משורת הפקודה, שם REQUEST_METHOD לא מוגדר; בשרת web הוא תמיד מוגדר.
• ?? '' על כל שדה. שדה יכול לחסור (שדה ששמו שונה, בקשה שנשלחה מסקריפט), וקריאה של מפתח חסר מדפיסה אזהרה.
• escape בפלט. השם חוזר לדף פעמיים, ו-htmlspecialchars() מוודאת שערך כמו <b>Ada</b> מוצג כטקסט במקום להפוך ל-markup. הפרטים נמצאים בעמוד htmlspecialchars.

אימות טופס והצגת שגיאות ליד השדות

אספו שגיאות במערך שהמפתחות שלו הם שמות השדות. אם המערך ריק, הטופס תקין; אחרת הדפיסו שוב את הטופס עם כל הודעה מתחת לשדה שלה והקלט של המבקר עדיין במקומו. שלחו אותו ריק, אחר כך עם אימייל שגוי, ואחר כך עם ערכים תקינים.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate מכבה את הבדיקות של הדפדפן עצמו כדי שתוכלו לראות את הבדיקות של PHP עובדות. השאירו את שתיהן בטופס אמיתי: אימות בדפדפן הוא נוחות למבקר, אימות ב-PHP הוא זה שקובע, כי כל אחד יכול לשלוח בקשה בלי הטופס שלכם. filter_var() עושה את האימייל ואת טווח המספר השלם בקריאה אחת כל אחד; עמוד filter_var מכסה את המסננים האחרים שלה.

תיבות סימון, כפתורי רדיו ו-select

שדה טקסט תמיד שולח ערך, גם ריק. שאר הפקדים לא:

• תיבת סימון לא מסומנת לא שולחת כלום, ולכן המפתח שלה חסר ב-$_POST.
• תיבות סימון בשם topics[] מגיעות כמערך: $_POST['topics'] הוא ['php', 'sql'].
• קבוצת רדיו או <select> שולחות את ה-value של האפשרות שנבחרה.

כדי לשמור על הבחירה אחרי שליחה, הדפיסו checked או selected על האפשרות שמתאימה. סמנו כמה תיבות, בחרו רמה ולחצו על Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

שתי הבדיקות שאחרי קריאת הקלט חשובות יותר ממה שהן נראות. array_intersect() משמיטה כל נושא שלא היה ברשימה שלכם, והבדיקה של is_string() יחד עם array_key_exists() מחזירה את הרמה לברירת מחדל אם מישהו שולח ערך שאף פעם לא הצעתם (או מערך, שהיה גורם ל-$levels[$level] לזרוק). select מגביל את מה שדפדפן יכול לשלוח, לא את מה שבקשה יכולה להכיל.

טפסים מרובי שלבים עם שדות נסתרים

שדה נסתר מעביר ערך משלב לשלב בלי להציג אותו. כאן שלב 1 שואל שם, שלב 2 שואל שפה ושולח את השם הלאה בשדה נסתר, ושלב 3 מציג את שניהם. עברו את שלושת השלבים.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

שדות נסתרים גלויים בקוד המקור של הדף ואפשר לערוך אותם כמו כל שדה אחר, ולכן הם בסדר להעברת התשובות של המבקר עצמו בין שלבים, אבל אף פעם לא למחיר, למזהה משתמש או לתפקיד. שמרו את אלה בשרת, ב-session; ראו sessions ועוגיות.

Post/Redirect/Get: עצירת השליחה החוזרת ברענון

אחרי POST מוצלח, אם הסקריפט מדפיס דף "תודה" ישירות, לחיצה על רענון מבקשת מהדפדפן לשלוח שוב את ה-POST, וההזמנה או התגובה נשמרות פעמיים. התיקון הוא לשמור, להפנות ולהציג את התוצאה ב-GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other אומר לדפדפן לעקוב אחרי ההפניה עם GET. exit אחרי header() חשוב: בלעדיו שאר הסקריפט ממשיך לרוץ. ההפניה גם חייבת לקרות לפני כל פלט, אחרת PHP מסרבת עם "headers already sent".

טפסים אמיתיים מוסיפים גם טוקן CSRF: ערך אקראי שנשמר ב-session ובשדה נסתר, ומושווה עם hash_equals() בשליחה, כך שאתר אחר לא יכול לשלוח לטופס שלכם בשם מבקר מחובר.

בדיקת האימות בלי דפדפן

שימו את הכללים בפונקציה שמקבלת מערך ומחזירה את השגיאות. הדף קורא לה עם $_POST, ואתם יכולים לקרוא לה עם כל מערך שתרצו, וזה הופך את מקרי הקצה לקלים לניסיון. הוסיפו מקרים משלכם לרשימה.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

המקרה הרביעי הוא זה שאנשים שוכחים. בקשה יכולה לשלוח name[]=x, וזה הופך את $_POST['name'] למערך, והעברת מערך ל-trim() זורקת TypeError ועוצרת את הסקריפט. בדיקה של is_string() קודם הופכת קלט עוין לשגיאת אימות רגילה. ההמרה (string) בבלוקים הקודמים מונעת גם היא את ה-TypeError, אבל היא הופכת את המערך למילה Array ומדפיסה אזהרה, ולכן is_string() היא הבדיקה הנקייה יותר.

טעות נפוצה: קריאה של $_POST לפני שהטופס נשלח

סקריפט הטופס הראשון הנפוץ ביותר קורא את השדות בראש הקובץ:

<?php
$name = $_POST['name'];
echo "Hello, $name";

בביקור הראשון שום דבר לא נשלח, ולכן PHP מדפיסה:

Warning: Undefined array key "name" in /var/www/form.php on line 2

התיקון הוא הדפוס מהבלוק הראשון: עבדו את הטופס רק כשהבקשה היא POST, וקראו כל שדה עם ברירת מחדל, $_POST['name'] ?? ''. אם האזהרה מופיעה אחרי השליחה, השוו את מאפיין ה-name ב-HTML למפתח ב-PHP: name="Name" ו-$_POST['name'] הם מפתחות שונים.