$_GET ו-$_POST ב-PHP: קריאת query strings ונתוני טפסים

$_GET הוא מערך של ה-query string של כתובת ה-URL, ולכן article.php?id=42&lang=en נותן $_GET['id'] === '42' ו-$_GET['lang'] === 'en'. $_POST הוא מערך של השדות של טופס שנשלח עם method="post". קראו את שניהם עם ברירת מחדל, $_GET['id'] ?? null, כי המפתח חסר בכל פעם שהפרמטר חסר.

הריצו את הבלוק, ואז לחצו על הקישורים: כל לחיצה מריצה את הסקריפט שוב כש-$_GET מתמלא מה-query string של הקישור.

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] הוא מה שכתובת ה-URL אומרת, לא רק שלושת הקישורים שהדפסתם. כל אחד יכול להקליד ?lang=<script> בשורת הכתובת, ולכן הבלוק מחפש את הערך ב-$languages במקום להדפיס אותו, ומבצע escape במקום היחיד שבו הוא כן מדפיס נתוני בקשה.

קריאת מספר מה-query string

כל ערך ב-$_GET הוא מחרוזת. למספר דף, אמתו והמירו בצעד אחד עם filter_var(), ועברו לברירת מחדל כשהערך חסר, אינו מספר או מחוץ לטווח. עברו בין הדפים, ואז נסו את הקישורים Page 999 ו-Page abc.

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

filter_var() מחזירה את המספר השלם 3 עבור "3" ואת אפשרות ה-default לכל מחרוזת אחרת, ולכן $page הוא תמיד int שאפשר להשתמש בו. עמוד filter_var מפרט את המאמתים האחרים.

קריאת נתוני טופס עם $_POST

טופס עם method="post" שולח את השדות שלו בגוף הבקשה, ו-PHP שמה אותם ב-$_POST תחת ה-name של כל שדה. $_SERVER['REQUEST_METHOD'] אומר לכם אם הבקשה הנוכחית היא הביקור הראשון (GET) או שליחה (POST). מלאו את הטופס ולחצו על Send כדי לראות את שניהם.

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

שדה טקסט ריק עדיין נשלח, בתור "", ולכן אחרי שליחה $_POST['title'] קיים גם אם המבקר לא הקליד כלום. בשרת REQUEST_METHOD תמיד מוגדר; ה-?? 'GET' רק שומר על הסקריפט שקט כשמריצים את הקובץ עם php בשורת הפקודה. הדפוס המלא לאימות טופס ולהצגה שלו מחדש נמצא בעמוד הטפסים.

טופס חיפוש עם method="get"

השתמשו ב-GET לטופס שהתוצאה שלו צריכה להיות כתובת URL שאפשר לשתף, כמו תיבת חיפוש. הדפדפן הופך את השדות ל-query string (?q=sort&level=beginner) והסקריפט קורא אותם מ-$_GET, בדיוק כמו קישור. חפשו array או string.

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

בניית קישורים עם http_build_query

כתיבה ידנית של "?q=$q&page=2" נשברת ברגע ש-$q מכיל רווח, & או #. http_build_query() מקודדת בשבילכם כל ערך, והתוצאה עוברת דרך htmlspecialchars() כשהיא נוחתת ב-href, כי & צריך להיות & בתוך HTML.

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

parse_str() עם שני ארגומנטים היא הדרך שבה PHP בונה את $_GET מ-query string, ולכן היא שימושית לבדיקות. תמיד העבירו את הארגומנט השני; הצורה הישנה עם ארגומנט אחד, שיצרה משתנים, הוסרה ב-PHP 8.

$_REQUEST ולמה להימנע ממנו

$_REQUEST הוא $_GET ו-$_POST שמוזגו למערך אחד. קובצי ה-php.ini ש-PHP מגיעה איתם מגדירים request_order = "GP", ולכן כששניהם מכילים אותו מפתח, POST מנצח; בלי ההגדרה הזו, גם עוגיות ממוזגות פנימה:

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

זה נראה נוח, אבל זה מסתיר מאיפה ערך הגיע. מטפל שמוחק רשומה לפי $_REQUEST['id'] יכול להיות מופעל על ידי קישור רגיל, וזה בדיוק מה שפעולות שמותרות רק ב-POST נועדו למנוע. קראו את $_GET או את $_POST לפי שם במקום זאת.

GET מול POST: באיזה להשתמש

הכלל שחשוב: בקשת GET לא אמורה לשנות שום דבר. דפדפנים טוענים קישורים מראש, סורקים עוקבים אחריהם ואנשים משתפים אותם, ולכן קישור ?delete=5 ייפתח בסוף על ידי משהו שלא התכוון למחוק. אף אחת מהשיטות לא מוצפנת בפני עצמה: HTTPS מגן על שתיהן, ו-POST רק שומר את הנתונים מחוץ לכתובת ה-URL, להיסטוריית הדפדפן וללוגים של השרת.