Обработка форм в PHP: приём, проверка и повторный вывод

PHP-форма отправляется обратно в скрипт, который её вывел: пишите <form method="post"> с именованными полями, а когда $_SERVER['REQUEST_METHOD'] равен 'POST', читайте каждое поле как $_POST['name']. Всё, что выводите обратно, экранируйте через htmlspecialchars().

Запустите этот блок, введите в форму имя и нажмите Send: тот же скрипт выполнится снова, на этот раз с заполненным $_POST.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Здесь происходят три вещи, которые нужны каждому обработчику формы:

• Проверка метода. При первом визите запрос это GET, и обрабатывать нечего. ?? 'GET' важен только тогда, когда файл запускается из командной строки, где REQUEST_METHOD не задан; на веб-сервере он задан всегда.
• ?? '' для каждого поля. Поля может не быть (переименованный input, запрос, отправленный скриптом), а чтение отсутствующего ключа печатает предупреждение.
• Экранирование при выводе. Имя возвращается на страницу дважды, и htmlspecialchars() гарантирует, что значение вроде <b>Ada</b> показывается как текст, а не становится разметкой. Подробности на странице про htmlspecialchars.

Проверка формы и ошибки рядом с полями

Собирайте ошибки в массив с ключами по именам полей. Если массив пуст, форма корректна; иначе выведите форму снова с каждым сообщением под своим полем, сохранив введённые посетителем данные. Отправьте её пустой, потом с неверным email, потом с корректными значениями.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate отключает собственные проверки браузера, чтобы вы видели, как работают проверки PHP. В реальной форме оставляйте обе: проверка в браузере это удобство для посетителя, а проверка в PHP это та, которая действительно имеет значение, потому что любой может отправить запрос без вашей формы. filter_var() проверяет email и диапазон целого числа одним вызовом каждый; другие фильтры описаны на странице про filter_var.

Чекбоксы, радиокнопки и select

Текстовое поле отправляет значение всегда, даже пустое. Остальные элементы нет:

• Неотмеченный чекбокс не отправляет вообще ничего, поэтому его ключа в $_POST нет.
• Чекбоксы с именем topics[] приходят массивом: $_POST['topics'] это ['php', 'sql'].
• Группа радиокнопок или <select> отправляет value выбранного варианта.

Чтобы сохранить выбор после отправки, выводите checked или selected у совпавшего варианта. Отметьте несколько чекбоксов, выберите уровень и нажмите Save.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Две проверки после чтения ввода важнее, чем кажется. array_intersect() отбрасывает любую тему, которой не было в вашем списке, а проверка is_string() вместе с array_key_exists() возвращает уровню значение по умолчанию, если кто-то отправит значение, которого вы не предлагали (или массив, из-за которого $levels[$level] выбросил бы ошибку). Select ограничивает то, что может отправить браузер, но не то, что может содержать запрос.

Многошаговые формы со скрытыми полями

Скрытое поле переносит значение с одного шага на следующий, не показывая его. Здесь шаг 1 спрашивает имя, шаг 2 спрашивает язык и передаёт имя дальше в скрытом поле, а шаг 3 показывает оба. Пройдите все три шага.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Скрытые поля видны в исходном коде страницы и редактируются, как любое другое поле, поэтому они годятся, чтобы переносить между шагами собственные ответы посетителя, но никогда не для цены, ID пользователя или роли. Храните такое на сервере, в сессии; смотрите сессии и cookie.

Post/Redirect/Get: не отправлять форму повторно при обновлении

Если после успешного POST скрипт сразу выводит страницу "спасибо", то при нажатии обновления браузер отправит POST снова, и заказ или комментарий сохранится дважды. Решение: сохранить, сделать редирект и показать результат по GET:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other говорит браузеру выполнить редирект через GET. exit после header() важен: без него остаток скрипта продолжает выполняться. Кроме того, редирект должен произойти до любого вывода, иначе PHP откажет с ошибкой "headers already sent".

В реальных формах добавляют ещё CSRF-токен: случайное значение, которое хранится в сессии и в скрытом поле и при отправке сравнивается через hash_equals(), чтобы другой сайт не мог отправить данные в вашу форму от имени вошедшего посетителя.

Проверка валидации без браузера

Поместите правила в функцию, которая принимает массив и возвращает ошибки. Страница вызывает её с $_POST, а вы можете вызвать её с любым массивом, и тогда пограничные случаи легко проверить. Добавьте в список свои случаи.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Четвёртый случай обычно забывают. Запрос может отправить name[]=x, и тогда $_POST['name'] станет массивом, а передача массива в trim() выбрасывает TypeError и останавливает скрипт. Предварительная проверка is_string() превращает враждебный ввод в обычную ошибку валидации. Приведение (string) в предыдущих блоках тоже избегает TypeError, но превращает массив в слово Array и печатает предупреждение, поэтому is_string() более чистая проверка.

Частая ошибка: чтение $_POST до отправки формы

Самый частый первый скрипт формы читает поля в начале файла:

<?php
$name = $_POST['name'];
echo "Hello, $name";

При первом визите ничего не отправлено, поэтому PHP печатает:

Warning: Undefined array key "name" in /var/www/form.php on line 2

Решение это шаблон из первого блока: обрабатывайте форму, только когда запрос это POST, и читайте каждое поле со значением по умолчанию, $_POST['name'] ?? ''. Если предупреждение появляется после отправки, сравните атрибут name в HTML с ключом в PHP: name="Name" и $_POST['name'] это разные ключи.