Formularze w PHP: obsługa, walidacja i ponowne wyświetlenie

Formularz PHP wysyła dane z powrotem do skryptu, który go wypisał: napisz <form method="post"> z nazwanymi polami, a gdy $_SERVER['REQUEST_METHOD'] to 'POST', odczytaj każde pole jako $_POST['name']. Wszystko, co wypisujesz z powrotem, escapuj przez htmlspecialchars().

Uruchom ten blok, wpisz imię w formularzu i naciśnij Send: ten sam skrypt uruchomi się ponownie, tym razem z wypełnionym $_POST.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Dzieją się tu trzy rzeczy, których potrzebuje każda obsługa formularza:

• Sprawdzenie metody. Przy pierwszej wizycie żądanie to GET i nie ma czego przetwarzać. ?? 'GET' ma znaczenie tylko wtedy, gdy plik działa z wiersza poleceń, gdzie REQUEST_METHOD nie jest ustawione; na serwerze WWW zawsze jest.
• ?? '' przy każdym polu. Pola może brakować (pole o zmienionej nazwie, żądanie wysłane przez skrypt), a odczyt brakującego klucza wypisuje ostrzeżenie.
• Escapowanie na wyjściu. Imię wraca na stronę dwa razy, a htmlspecialchars() sprawia, że wartość taka jak <b>Ada</b> jest pokazywana jako tekst, zamiast stać się znacznikiem. Szczegóły są na stronie o htmlspecialchars.

Walidacja formularza i błędy przy polach

Zbieraj błędy w tablicy z kluczami będącymi nazwami pól. Jeśli tablica jest pusta, formularz jest poprawny; w przeciwnym razie wypisz formularz ponownie z każdym komunikatem pod jego polem i z zachowanymi danymi odwiedzającego. Wyślij go pustego, potem ze złym e-mailem, a potem z poprawnymi wartościami.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate wyłącza własne sprawdzenia przeglądarki, żebyś mógł zobaczyć działanie tych w PHP. W prawdziwym formularzu zachowaj oba: walidacja w przeglądarce to wygoda dla odwiedzającego, a walidacja w PHP to ta, która się liczy, bo każdy może wysłać żądanie bez twojego formularza. filter_var() sprawdza e-mail i zakres liczby całkowitej jednym wywołaniem każde; pozostałe filtry opisuje strona o filter_var.

Pola wyboru, przyciski opcji i listy rozwijane

Pole tekstowe zawsze wysyła wartość, nawet pustą. Pozostałe kontrolki nie:

• Niezaznaczone pole wyboru nie wysyła nic, więc jego klucza brakuje w $_POST.
• Pola wyboru o nazwie topics[] przychodzą jako tablica: $_POST['topics'] to ['php', 'sql'].
• Grupa przycisków opcji albo <select> wysyła value wybranej opcji.

Aby zachować wybór po wysłaniu, wypisz checked lub selected przy pasującej opcji. Zaznacz kilka pól, wybierz poziom i naciśnij Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Dwa sprawdzenia po odczycie danych mają większe znaczenie, niż się wydaje. array_intersect() odrzuca każdy temat spoza twojej listy, a sprawdzenie is_string() razem z array_key_exists() przywraca poziom domyślny, jeśli ktoś wyśle wartość, której nigdy nie oferowałeś (albo tablicę, przez którą $levels[$level] rzuciłoby błąd). Lista rozwijana ogranicza to, co może wysłać przeglądarka, a nie to, co może zawierać żądanie.

Formularze wieloetapowe z polami ukrytymi

Pole ukryte przenosi wartość z jednego etapu do następnego, nie pokazując jej. Tutaj etap 1 pyta o imię, etap 2 pyta o język i przesyła imię dalej w ukrytym polu, a etap 3 pokazuje oba. Przejdź przez wszystkie trzy etapy.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Pola ukryte są widoczne w źródle strony i edytowalne jak każde inne pole, więc nadają się do przenoszenia własnych odpowiedzi odwiedzającego między etapami, ale nigdy do ceny, identyfikatora użytkownika czy roli. Takie dane trzymaj na serwerze, w sesji; zobacz sesje i ciasteczka.

Post/Redirect/Get: koniec z ponownym wysyłaniem przy odświeżeniu

Jeśli po udanym POST skrypt wypisze stronę z podziękowaniem bezpośrednio, naciśnięcie odświeżenia każe przeglądarce wysłać POST ponownie, a zamówienie albo komentarz zostanie zapisane dwa razy. Rozwiązanie to zapisanie, przekierowanie i pokazanie wyniku przez GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other każe przeglądarce wykonać przekierowanie przez GET. exit po header() ma znaczenie: bez niego reszta skryptu działa dalej. Przekierowanie musi też nastąpić przed jakimkolwiek wyjściem, inaczej PHP odmówi z komunikatem „headers already sent”.

Prawdziwe formularze dodają też token CSRF: losową wartość zapisaną w sesji i w ukrytym polu, porównywaną przy wysłaniu przez hash_equals(), żeby inna strona nie mogła wysłać danych do twojego formularza w imieniu zalogowanego odwiedzającego.

Testowanie walidacji bez przeglądarki

Umieść zasady w funkcji, która przyjmuje tablicę i zwraca błędy. Strona wywołuje ją z $_POST, a ty możesz wywołać ją z dowolną tablicą, co ułatwia sprawdzanie przypadków brzegowych. Dodaj do listy własne przypadki.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

O czwartym przypadku ludzie zapominają. Żądanie może wysłać name[]=x, przez co $_POST['name'] staje się tablicą, a przekazanie tablicy do trim() rzuca TypeError i zatrzymuje skrypt. Sprawdzenie najpierw is_string() zamienia wrogie dane w zwykły błąd walidacji. Rzutowanie (string) we wcześniejszych blokach też unika TypeError, ale zamienia tablicę w słowo Array i wypisuje ostrzeżenie, więc is_string() to czystsze sprawdzenie.

Częsty błąd: odczyt $_POST przed wysłaniem formularza

Najczęstszy pierwszy skrypt formularza odczytuje pola na górze pliku:

<?php
$name = $_POST['name'];
echo "Hello, $name";

Przy pierwszej wizycie nic nie zostało wysłane, więc PHP wypisuje:

Warning: Undefined array key "name" in /var/www/form.php on line 2

Rozwiązanie to wzorzec z pierwszego bloku: przetwarzaj formularz tylko wtedy, gdy żądanie to POST, i odczytuj każde pole z wartością domyślną, $_POST['name'] ?? ''. Jeśli ostrzeżenie pojawia się po wysłaniu, porównaj atrybut name w HTML z kluczem w PHP: name="Name" i $_POST['name'] to różne klucze.