Form in PHP: elaborare, validare e mostrare di nuovo

Un form PHP invia i dati allo script che lo ha stampato: scrivi <form method="post"> con dei campi con nome, e quando $_SERVER['REQUEST_METHOD'] è 'POST', leggi ogni campo come $_POST['name']. Applica htmlspecialchars() a tutto ciò che ristampi.

Esegui questo blocco, scrivi un nome nel form e premi Send: lo stesso script viene eseguito di nuovo, questa volta con $_POST compilato.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Qui succedono tre cose che servono a ogni gestore di form:

• Il controllo del metodo. Alla prima visita la richiesta è un GET e non c'è nulla da elaborare. ?? 'GET' conta solo quando il file viene eseguito da riga di comando, dove REQUEST_METHOD non è impostato; su un server web lo è sempre.
• ?? '' su ogni campo. Un campo può mancare (un input rinominato, una richiesta inviata da uno script), e leggere una chiave mancante stampa un warning.
• L'escape in uscita. Il nome torna nella pagina due volte, e htmlspecialchars() fa sì che un valore come <b>Ada</b> venga mostrato come testo invece di diventare markup. I dettagli sono nella pagina su htmlspecialchars.

Validare un form e mostrare gli errori accanto ai campi

Raccogli gli errori in un array con il nome del campo come chiave. Se l'array è vuoto, il form è valido; altrimenti stampa di nuovo il form con ogni messaggio sotto il suo campo e l'input del visitatore ancora al suo posto. Invialo vuoto, poi con un'email non valida, poi con valori validi.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate disattiva i controlli del browser così puoi vedere quelli di PHP al lavoro. In un form reale tienili entrambi: la validazione del browser è una comodità per il visitatore, quella di PHP è quella che conta, perché chiunque può inviare una richiesta senza il tuo form. filter_var() gestisce l'email e l'intervallo dell'intero con una chiamata ciascuno; la pagina su filter_var tratta gli altri suoi filtri.

Checkbox, radio button e select

Un campo di testo invia sempre un valore, anche vuoto. Gli altri controlli no:

• Una checkbox non selezionata non invia nulla, quindi la sua chiave manca da $_POST.
• Le checkbox chiamate topics[] arrivano come array: $_POST['topics'] è ['php', 'sql'].
• Un gruppo di radio o una <select> invia il value dell'opzione scelta.

Per mantenere la scelta dopo l'invio, stampa checked o selected sull'opzione che corrisponde. Seleziona qualche casella, scegli un livello e premi Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

I due controlli dopo la lettura dell'input contano più di quanto sembri. array_intersect() scarta ogni argomento che non era nel tuo elenco, e il controllo con is_string() più array_key_exists() riporta il livello a un default se qualcuno invia un valore che non hai mai offerto (o un array, che farebbe lanciare un errore a $levels[$level]). Una select limita ciò che può inviare un browser, non ciò che può contenere una richiesta.

Form in più passaggi con campi nascosti

Un input nascosto porta un valore da un passaggio al successivo senza mostrarlo. Qui il passaggio 1 chiede un nome, il passaggio 2 chiede una lingua e porta con sé il nome in un campo nascosto, e il passaggio 3 li mostra entrambi. Percorri tutti e tre i passaggi.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

I campi nascosti sono visibili nel sorgente della pagina e modificabili come qualsiasi altro campo, quindi vanno bene per portare le risposte del visitatore tra un passaggio e l'altro, ma mai per un prezzo, un id utente o un ruolo. Tieni quelli sul server, in una sessione; vedi sessioni e cookie.

Post/Redirect/Get: evitare il reinvio al ricaricamento

Dopo un POST riuscito, se lo script stampa direttamente una pagina di "grazie", premere ricarica chiede al browser di inviare di nuovo il POST, e l'ordine o il commento viene salvato due volte. La soluzione è salvare, fare un redirect e mostrare il risultato con un GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other dice al browser di seguire il redirect con un GET. exit dopo header() conta: senza, il resto dello script continua a essere eseguito. Il redirect deve anche avvenire prima di qualsiasi output, altrimenti PHP si rifiuta con "headers already sent".

I form reali aggiungono anche un token CSRF: un valore casuale salvato nella sessione e in un campo nascosto, confrontato con hash_equals() all'invio, così un altro sito non può inviare dati al tuo form a nome di un visitatore autenticato.

Testare la validazione senza browser

Metti le regole in una funzione che riceve un array e restituisce gli errori. La pagina la chiama con $_POST, e tu puoi chiamarla con qualsiasi array, il che rende facile provare i casi limite. Aggiungi i tuoi casi all'elenco.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Il quarto caso è quello che si dimentica. Una richiesta può inviare name[]=x, che rende $_POST['name'] un array, e passare un array a trim() lancia un TypeError e ferma lo script. Verificare prima is_string() trasforma un input ostile in un normale errore di validazione. Anche il cast (string) dei blocchi precedenti evita il TypeError, ma trasforma l'array nella parola Array e stampa un warning, quindi is_string() è il controllo più pulito.

Errore comune: leggere $_POST prima che il form sia inviato

Il primo script di form più comune legge i campi in cima al file:

<?php
$name = $_POST['name'];
echo "Hello, $name";

Alla prima visita non è stato inviato nulla, quindi PHP stampa:

Warning: Undefined array key "name" in /var/www/form.php on line 2

La soluzione è lo schema del primo blocco: elabora il form solo quando la richiesta è un POST, e leggi ogni campo con un default, $_POST['name'] ?? ''. Se il warning compare dopo l'invio, confronta l'attributo name nell'HTML con la chiave in PHP: name="Name" e $_POST['name'] sono chiavi diverse.