Form PHP: Memproses, Validasi, dan Menampilkan Ulang

Form PHP mengirim data kembali ke script yang mencetaknya: tulis <form method="post"> dengan input yang diberi nama, dan saat $_SERVER['REQUEST_METHOD'] bernilai 'POST', baca setiap field sebagai $_POST['name']. Escape apa pun yang kamu cetak kembali dengan htmlspecialchars().

Jalankan blok ini, ketik sebuah nama ke form, lalu tekan Send: script yang sama berjalan lagi, kali ini dengan $_POST yang sudah terisi.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Ada tiga hal yang terjadi di sini dan dibutuhkan oleh setiap pemroses form:

• Pemeriksaan method. Pada kunjungan pertama, request-nya adalah GET dan belum ada yang perlu diproses. ?? 'GET' hanya berpengaruh saat file dijalankan dari command line, tempat REQUEST_METHOD tidak diisi; di web server nilainya selalu ada.
• ?? '' di setiap field. Sebuah field bisa saja tidak ada (input yang namanya diganti, request yang dikirim oleh script), dan membaca key yang tidak ada akan mencetak warning.
• Escaping saat output. Nama itu dimasukkan kembali ke halaman dua kali, dan htmlspecialchars() memastikan nilai seperti <b>Ada</b> ditampilkan sebagai teks, bukan menjadi markup. Detailnya ada di halaman htmlspecialchars.

Validasi form dan tampilkan error di samping field

Kumpulkan error dalam array dengan nama field sebagai key. Jika array-nya kosong, form-nya valid; jika tidak, cetak form lagi dengan setiap pesan di bawah field-nya dan isian pengunjung tetap di tempatnya. Kirim form dalam keadaan kosong, lalu dengan email yang salah, lalu dengan nilai yang valid.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate mematikan pemeriksaan bawaan browser agar kamu bisa melihat pemeriksaan PHP bekerja. Di form sungguhan, pakai keduanya: validasi browser adalah kemudahan untuk pengunjung, sedangkan validasi PHP-lah yang menentukan, karena siapa pun bisa mengirim request tanpa melewati form-mu. filter_var() menangani email dan rentang integer masing-masing dalam satu panggilan; halaman filter_var membahas filter lainnya.

Checkbox, radio button, dan select

Field teks selalu mengirim nilai, meskipun kosong. Kontrol lainnya tidak:

• Checkbox yang tidak dicentang sama sekali tidak mengirim apa pun, jadi key-nya tidak ada di $_POST.
• Checkbox bernama topics[] datang sebagai array: $_POST['topics'] berisi ['php', 'sql'].
• Grup radio atau <select> mengirim value dari option yang dipilih.

Untuk menjaga pilihan setelah submit, cetak checked atau selected pada option yang cocok. Centang beberapa kotak, pilih level, lalu tekan Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Dua pemeriksaan setelah membaca input itu lebih penting daripada kelihatannya. array_intersect() membuang topik yang tidak ada di daftarmu, dan pemeriksaan is_string() ditambah array_key_exists() mengembalikan level ke nilai default jika seseorang mengirim nilai yang tidak pernah kamu tawarkan (atau sebuah array, yang akan membuat $levels[$level] melempar error). Select membatasi apa yang bisa dikirim browser, bukan apa yang bisa dimuat sebuah request.

Form multi-langkah dengan hidden field

Hidden input membawa sebuah nilai dari satu langkah ke langkah berikutnya tanpa menampilkannya. Di sini langkah 1 menanyakan nama, langkah 2 menanyakan bahasa dan ikut mengirim nama lewat hidden field, dan langkah 3 menampilkan keduanya. Lalui ketiga langkahnya.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Hidden field terlihat di source halaman dan bisa diubah seperti field lain, jadi aman dipakai untuk membawa jawaban pengunjung sendiri antarlangkah, tetapi jangan pernah untuk harga, id pengguna, atau role. Simpan data seperti itu di server, dalam session; lihat session dan cookie.

Post/Redirect/Get: hentikan pengiriman ulang saat refresh

Setelah POST berhasil, jika script langsung mencetak halaman "terima kasih", menekan refresh membuat browser mengirim POST itu lagi, dan pesanan atau komentarnya tersimpan dua kali. Solusinya adalah menyimpan, melakukan redirect, lalu menampilkan hasilnya lewat GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other memberi tahu browser untuk mengikuti redirect dengan GET. exit setelah header() itu penting: tanpanya, sisa script tetap berjalan. Redirect juga harus terjadi sebelum ada output apa pun, kalau tidak PHP menolak dengan "headers already sent".

Form sungguhan juga menambahkan token CSRF: nilai acak yang disimpan di session dan di hidden field, lalu dibandingkan dengan hash_equals() saat submit, agar situs lain tidak bisa mengirim ke form-mu atas nama pengunjung yang sedang login.

Uji validasi tanpa browser

Taruh aturannya di sebuah fungsi yang menerima array dan mengembalikan error-nya. Halaman memanggilnya dengan $_POST, dan kamu bisa memanggilnya dengan array apa pun, sehingga kasus-kasus tepi mudah dicoba. Tambahkan kasusmu sendiri ke daftarnya.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Kasus keempat adalah yang sering dilupakan. Sebuah request bisa mengirim name[]=x, yang membuat $_POST['name'] menjadi array, dan memberikan array ke trim() melempar TypeError serta menghentikan script. Memeriksa is_string() lebih dulu mengubah input yang berniat jahat menjadi error validasi biasa. Cast (string) di blok-blok sebelumnya juga mencegah TypeError, tetapi mengubah array menjadi kata Array dan mencetak warning, jadi is_string() adalah pemeriksaan yang lebih bersih.

Kesalahan umum: membaca $_POST sebelum form dikirim

Script form pertama yang paling umum membaca field-field di bagian atas file:

<?php
$name = $_POST['name'];
echo "Hello, $name";

Pada kunjungan pertama belum ada yang dikirim, jadi PHP mencetak:

Warning: Undefined array key "name" in /var/www/form.php on line 2

Solusinya adalah pola dari blok pertama: proses form hanya saat request-nya POST, dan baca setiap field dengan nilai default, $_POST['name'] ?? ''. Jika warning muncul setelah submit, bandingkan atribut name di HTML dengan key di PHP: name="Name" dan $_POST['name'] adalah key yang berbeda.