PHPのフォーム処理：送信、バリデーション、再表示

Q: PHPのフォームを同じページに送信するには？

actionなし（またはaction=""）で と書きます。ブラウザは現在のURLに送信し直すので、同じスクリプトがフォームを表示し、処理もします。$SERVER['REQUESTMETHOD'] === 'POST'を確認し、$_POSTから項目を読みます。

Q: PHPで送信後もフォームの値を保持するには？

送信された値をエスケープして項目に出力し直します： ">。チェックボックスならcheckedを、セレクトのオプションならselectedを、送信された値が一致したときに出力します。

Q: PHPで複数のチェックボックスの値を取得するには？

チェックボックスに角括弧で終わる同じ名前を付けます：name="topics[]"。するとPHPはチェックされた値を配列$POST['topics']に入れます。チェックされていないボックスは何も送らないので、$POST['topics'] ?? []を使い、すべての値を提示した一覧と照合します。

Q: ページを再読み込みするとPHPのフォームが再送信されるのはなぜですか？

最後のリクエストがPOSTだったので、ブラウザが再読み込みでそれを繰り返すからです。送信が成功したら、header('Location: /thanks.php'); exit;でリダイレクトします（Post/Redirect/Getパターン）。そうすれば再読み込みが繰り返すのは無害なGETになります。

Q: PHPの$_POSTはそのまま使っても安全ですか？

安全ではありません。$POSTのすべての値は訪問者から来たもので、HTML、SQL、文字列を期待したところに配列など、何でもありえます。受け取るときに検証し（filtervar、長さや許可リストのチェック）、出力するときにエスケープします（HTMLにはhtmlspecialchars、SQLにはプリペアドステートメント）。

PHPのフォームは、それを出力したスクリプトに送信されます。名前を付けた入力欄で<form method="post">を書き、$_SERVER['REQUEST_METHOD']が'POST'のときに、各項目を$_POST['name']として読みます。出力し直すものはすべてhtmlspecialchars()でエスケープしましょう。

このブロックを実行し、フォームに名前を入力してSendを押すと、今度は$_POSTに値が入った状態で同じスクリプトがもう一度実行されます。

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

ここでは、すべてのフォームの処理に必要な3つのことが起きています。

メソッドの確認。 最初の訪問ではリクエストはGETで、処理するものはありません。?? 'GET'が意味を持つのは、REQUEST_METHODが設定されないコマンドラインからファイルを実行したときだけで、Webサーバーでは常に設定されています。
すべての項目に?? ''。 項目は欠けていることがあり（名前を変えた入力欄、スクリプトから送られたリクエスト）、存在しないキーを読むと警告が出ます。
出力時のエスケープ。 名前はページに2回戻され、htmlspecialchars()が<b>Ada</b>のような値をマークアップではなくテキストとして表示させます。詳しくはhtmlspecialcharsのページにあります。

フォームを検証し、項目の隣にエラーを表示する

エラーは項目名をキーにした配列に集めます。配列が空ならフォームは正しく、そうでなければ各メッセージを項目の下に置き、訪問者の入力を残したままフォームをもう一度出力します。空のまま送信し、次に不正なメールアドレスで、最後に正しい値で送信してみてください。

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidateはブラウザ自身のチェックを無効にするので、PHPのチェックが動くのを確認できます。本物のフォームでは両方を残しましょう。ブラウザの検証は訪問者のための便利機能で、意味を持つのはPHPの検証です。誰でもあなたのフォームを使わずにリクエストを送れるからです。filter_var()はメールアドレスと整数の範囲をそれぞれ1回の呼び出しで確認します。ほかのフィルターはfilter_varのページで扱っています。

チェックボックス、ラジオボタン、セレクト

テキスト欄は、空であっても常に値を送ります。ほかのコントロールは違います。

チェックされていないチェックボックスは何も送らないので、そのキーは$_POSTにありません。
topics[]という名前のチェックボックスは配列で届きます：$_POST['topics']は['php', 'sql']です。
ラジオボタンのグループや<select>は、選ばれたオプションのvalueを送ります。

送信後も選択を保つには、一致するオプションにcheckedかselectedを出力します。いくつかのボックスにチェックを入れ、レベルを選んでSaveを押してください。

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

入力を読んだあとの2つの確認は、見た目以上に重要です。array_intersect()は一覧になかったトピックを取り除き、is_string()とarray_key_exists()の確認は、提示したことのない値（または$levels[$level]で例外を投げさせる配列）が送られてきたときにレベルを既定値に戻します。セレクトが制限するのはブラウザが送れるものであって、リクエストに含められるものではありません。

hiddenフィールドを使った複数ステップのフォーム

hiddenの入力欄は、値を表示せずに次のステップへ運びます。ここではステップ1で名前を尋ね、ステップ2で言語を尋ねながらhiddenフィールドで名前を一緒に送り、ステップ3で両方を表示します。3つのステップをすべて進んでみてください。

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

hiddenフィールドはページのソースで見え、ほかの項目と同じように編集できるので、訪問者自身の回答をステップ間で運ぶのには問題ありませんが、価格、ユーザーID、権限には決して使ってはいけません。それらはサーバーのセッションに置きましょう。セッションとCookieを参照してください。

Post/Redirect/Get：再読み込みでの再送信を止める

POSTが成功したあと、スクリプトが「ありがとう」のページを直接出力すると、再読み込みを押したときにブラウザがPOSTをもう一度送ろうとし、注文やコメントが2回保存されてしまいます。解決策は、保存してリダイレクトし、結果をGETで表示することです。

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Otherは、ブラウザにGETでリダイレクトに従うよう伝えます。header()のあとのexitは重要で、それがなければスクリプトの残りが実行され続けます。リダイレクトは何かを出力する前に行う必要もあり、そうでなければPHPは「headers already sent」で拒否します。

本物のフォームにはCSRFトークンも加えます。セッションとhiddenフィールドに保存したランダムな値を、送信時にhash_equals()で比較するもので、ログイン中の訪問者になりすましてほかのサイトがあなたのフォームに送信するのを防ぎます。

ブラウザなしでバリデーションをテストする

ルールを、配列を受け取ってエラーを返す関数にまとめます。ページは$_POSTでそれを呼び、あなたは好きな配列でそれを呼べるので、境界のケースを手軽に試せます。一覧に自分のケースを加えてみてください。

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

4つ目のケースは忘れられがちです。リクエストはname[]=xを送れ、そうすると$_POST['name']が配列になり、配列をtrim()に渡すとTypeErrorが投げられてスクリプトが止まります。先にis_string()を確認すれば、悪意のある入力も普通のバリデーションエラーになります。前のブロックの(string)キャストもTypeErrorを避けますが、配列をArrayという単語に変えて警告を出すので、is_string()のほうがすっきりした確認です。

よくあるミス：フォームが送信される前に$_POSTを読む

最初のフォームのスクリプトでいちばんよくあるのは、ファイルの先頭で項目を読むことです。

<?php
$name = $_POST['name'];
echo "Hello, $name";

最初の訪問では何も送信されていないので、PHPは次のように表示します。

Warning: Undefined array key "name" in /var/www/form.php on line 2

解決策は最初のブロックのパターンです。リクエストがPOSTのときだけフォームを処理し、すべての項目を既定値付きで読みます：$_POST['name'] ?? ''。送信後に警告が出るなら、HTMLのname属性とPHPのキーを比べてください。name="Name"と$_POST['name']は別のキーです。

よくある質問

PHPのフォームを同じページに送信するには？

actionなし（またはaction=""）で<form method="post">と書きます。ブラウザは現在のURLに送信し直すので、同じスクリプトがフォームを表示し、処理もします。$_SERVER['REQUEST_METHOD'] === 'POST'を確認し、$_POSTから項目を読みます。

PHPで送信後もフォームの値を保持するには？

送信された値をエスケープして項目に出力し直します：<input name="email" value="<?= htmlspecialchars($_POST['email'] ?? '') ?>">。チェックボックスならcheckedを、セレクトのオプションならselectedを、送信された値が一致したときに出力します。

PHPで複数のチェックボックスの値を取得するには？

チェックボックスに角括弧で終わる同じ名前を付けます：name="topics[]"。するとPHPはチェックされた値を配列$_POST['topics']に入れます。チェックされていないボックスは何も送らないので、$_POST['topics'] ?? []を使い、すべての値を提示した一覧と照合します。

ページを再読み込みするとPHPのフォームが再送信されるのはなぜですか？

最後のリクエストがPOSTだったので、ブラウザが再読み込みでそれを繰り返すからです。送信が成功したら、header('Location: /thanks.php'); exit;でリダイレクトします（Post/Redirect/Getパターン）。そうすれば再読み込みが繰り返すのは無害なGETになります。

PHPの$_POSTはそのまま使っても安全ですか？

安全ではありません。$_POSTのすべての値は訪問者から来たもので、HTML、SQL、文字列を期待したところに配列など、何でもありえます。受け取るときに検証し（filter_var、長さや許可リストのチェック）、出力するときにエスケープします（HTMLにはhtmlspecialchars、SQLにはプリペアドステートメント）。