PHP Form İşleme: Gönderme, Doğrulama ve Yeniden Gösterme

Bir PHP formu onu yazdıran betiğe geri gönderilir: adlandırılmış girdilerle <form method="post"> yazın ve $_SERVER['REQUEST_METHOD'] 'POST' olduğunda her alanı $_POST['name'] olarak okuyun. Geri yazdırdığınız her şeyi htmlspecialchars() ile kaçışlayın.

Bu bloğu çalıştırın, forma bir isim yazın ve Send düğmesine basın: aynı betik bu kez $_POST doldurulmuş olarak yeniden çalışır.

<?php
$name = '';
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $name = trim($_POST['name'] ?? '');
}
?>
<form method="post">
  <label>Your name <input name="name" value="<?= htmlspecialchars($name) ?>"></label>
  <button>Send</button>
</form>
<?php if ($name !== ''): ?>
  <p>Hello, <?= htmlspecialchars($name) ?>.</p>
<?php endif; ?>

Burada her form işleyicinin ihtiyaç duyduğu üç şey olur:

• Yöntem kontrolü. İlk ziyarette istek bir GET'tir ve işlenecek hiçbir şey yoktur. ?? 'GET' yalnızca dosya REQUEST_METHOD ayarlanmamış olan komut satırından çalıştığında önemlidir; bir web sunucusunda her zaman ayarlıdır.
• Her alanda ?? ''. Bir alan eksik olabilir (yeniden adlandırılmış bir girdi, bir betiğin gönderdiği bir istek) ve eksik bir anahtarı okumak bir uyarı yazdırır.
• Çıktıda kaçışlama. İsim sayfaya iki kez geri gider ve htmlspecialchars() <b>Ada</b> gibi bir değerin işaretlemeye dönüşmek yerine metin olarak gösterilmesini sağlar. Ayrıntılar htmlspecialchars sayfasında.

Bir formu doğrulama ve hataları alanların yanında gösterme

Hataları alan adına göre anahtarlanmış bir dizide toplayın. Dizi boşsa form geçerlidir; değilse formu her mesaj kendi alanının altında ve ziyaretçinin girdisi yerinde olacak şekilde yeniden yazdırın. Onu boş, sonra hatalı bir e-postayla, sonra geçerli değerlerle gönderin.

<?php
$values = ['name' => '', 'email' => '', 'age' => ''];
$errors = [];
$sent = false;

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    foreach ($values as $field => $_) {
        $values[$field] = trim((string) ($_POST[$field] ?? ''));
    }

    if ($values['name'] === '') {
        $errors['name'] = 'Please enter your name.';
    } elseif (mb_strlen($values['name']) > 50) {
        $errors['name'] = 'Use 50 characters or fewer.';
    }

    if (filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'That does not look like an email address.';
    }

    $age = filter_var($values['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 13, 'max_range' => 120]]);
    if ($age === false) {
        $errors['age'] = 'Enter a whole number from 13 to 120.';
    }

    $sent = $errors === [];
}

function e(string $s): string
{
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}
?>
<style>.err { color: #c62828; margin: 2px 0 10px; } label { display: block; margin-top: 8px; }</style>
<?php if ($sent): ?>
  <p>Thanks, <?= e($values['name']) ?>. We will write to <?= e($values['email']) ?>.</p>
<?php else: ?>
  <form method="post" novalidate>
    <label>Name <input name="name" value="<?= e($values['name']) ?>"></label>
    <?php if (isset($errors['name'])): ?><p class="err"><?= e($errors['name']) ?></p><?php endif; ?>

    <label>Email <input name="email" value="<?= e($values['email']) ?>"></label>
    <?php if (isset($errors['email'])): ?><p class="err"><?= e($errors['email']) ?></p><?php endif; ?>

    <label>Age <input name="age" value="<?= e($values['age']) ?>"></label>
    <?php if (isset($errors['age'])): ?><p class="err"><?= e($errors['age']) ?></p><?php endif; ?>

    <button>Sign up</button>
  </form>
<?php endif; ?>

novalidate tarayıcının kendi kontrollerini kapatır, böylece PHP kontrollerinin çalıştığını izleyebilirsiniz. Gerçek bir formda ikisini de tutun: tarayıcı doğrulaması ziyaretçi için bir kolaylıktır, geçerli olan ise PHP doğrulamasıdır, çünkü herkes formunuz olmadan bir istek gönderebilir. filter_var() e-postayı ve tam sayı aralığını birer çağrıda yapar; diğer filtreleri filter_var sayfası anlatır.

Onay kutuları, radyo düğmeleri ve select

Bir metin alanı boş olsa bile her zaman bir değer gönderir. Diğer kontroller göndermez:

• İşaretsiz bir onay kutusu hiçbir şey göndermez, bu yüzden anahtarı $_POST içinde yoktur.
• topics[] adlı onay kutuları bir dizi olarak gelir: $_POST['topics'] ['php', 'sql'] olur.
• Bir radyo grubu veya bir <select> seçilen seçeneğin value değerini gönderir.

Gönderimden sonra seçimi korumak için eşleşen seçeneğe checked veya selected yazdırın. Birkaç kutuyu işaretleyin, bir seviye seçin ve Save düğmesine basın.

<?php
$topics = ['php' => 'PHP', 'sql' => 'SQL', 'js' => 'JavaScript'];
$levels = ['new' => 'New to coding', 'some' => 'Some experience', 'pro' => 'Professional'];

$picked = $_POST['topics'] ?? [];
$picked = is_array($picked) ? array_values(array_intersect($picked, array_keys($topics))) : [];

$level = $_POST['level'] ?? 'new';
if (!is_string($level) || !array_key_exists($level, $levels)) {
    $level = 'new';
}
?>
<form method="post">
  <p>Topics:
  <?php foreach ($topics as $key => $label): ?>
    <label><input type="checkbox" name="topics[]" value="<?= $key ?>"
      <?= in_array($key, $picked, true) ? 'checked' : '' ?>> <?= $label ?></label>
  <?php endforeach; ?>
  </p>
  <p>Level:
    <select name="level">
    <?php foreach ($levels as $key => $label): ?>
      <option value="<?= $key ?>" <?= $key === $level ? 'selected' : '' ?>><?= $label ?></option>
    <?php endforeach; ?>
    </select>
  </p>
  <button>Save</button>
</form>
<p>You picked: <?= $picked ? implode(', ', array_map(fn ($k) => $topics[$k], $picked)) : 'nothing yet' ?>
  (<?= $levels[$level] ?>)</p>

Girdiyi okuduktan sonraki iki kontrol göründüğünden daha önemlidir. array_intersect() listenizde olmayan her konuyu atar ve is_string() ile array_key_exists() kontrolü, biri hiç sunmadığınız bir değer (ya da $levels[$level] ifadesinin hata fırlatmasına yol açacak bir dizi) gönderirse seviyeyi bir varsayılana geri koyar. Bir select bir tarayıcının ne gönderebileceğini sınırlar, bir isteğin ne içerebileceğini değil.

Gizli alanlarla çok adımlı formlar

Gizli bir girdi bir değeri göstermeden bir adımdan diğerine taşır. Burada 1. adım bir isim sorar, 2. adım bir dil sorar ve ismi gizli bir alanda birlikte gönderir, 3. adım ise ikisini de gösterir. Üç adımın hepsinden geçin.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$lang = (string) ($_POST['lang'] ?? '');
$step = $name === '' ? 1 : ($lang === '' ? 2 : 3);
$e = fn (string $s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<p>Step <?= $step ?> of 3</p>
<?php if ($step === 1): ?>
  <form method="post">
    <label>Name <input name="name"></label> <button>Next</button>
  </form>
<?php elseif ($step === 2): ?>
  <form method="post">
    <input type="hidden" name="name" value="<?= $e($name) ?>">
    <p>Hi <?= $e($name) ?>, which language do you want to learn?</p>
    <label><input type="radio" name="lang" value="PHP" checked> PHP</label>
    <label><input type="radio" name="lang" value="Python"> Python</label>
    <button>Next</button>
  </form>
<?php else: ?>
  <p><?= $e($name) ?> wants to learn <?= $e($lang) ?>.</p>
<?php endif; ?>

Gizli alanlar sayfa kaynağında görünür ve diğer her alan gibi düzenlenebilir, bu yüzden ziyaretçinin kendi yanıtlarını adımlar arasında taşımak için uygundur, ama asla bir fiyat, bir kullanıcı id'si veya bir rol için değil. Onları sunucuda, bir oturumda tutun; bkz. oturumlar ve çerezler.

Post/Redirect/Get: yenilemede yeniden gönderimi durdurma

Başarılı bir POST sonrasında betik doğrudan bir "teşekkürler" sayfası yazdırırsa, yenilemeye basmak tarayıcıdan POST isteğini yeniden göndermesini ister ve sipariş veya yorum iki kez kaydedilir. Çözüm kaydetmek, yönlendirmek ve sonucu bir GET üzerinde göstermektir:

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $errors = validate($_POST);
    if (!$errors) {
        save_comment($_POST);
        $_SESSION['flash'] = 'Comment posted.';
        header('Location: /comments.php', true, 303);
        exit;
    }
    // On errors, fall through and print the form with the messages.
}

$flash = $_SESSION['flash'] ?? null;
unset($_SESSION['flash']);

303 See Other tarayıcıya yönlendirmeyi bir GET ile izlemesini söyler. header() sonrasındaki exit önemlidir: o olmadan betiğin geri kalanı çalışmaya devam eder. Yönlendirme ayrıca herhangi bir çıktıdan önce olmalıdır, yoksa PHP "headers already sent" ile reddeder.

Gerçek formlar ayrıca bir CSRF belirteci ekler: oturumda ve gizli bir alanda saklanan ve gönderimde hash_equals() ile karşılaştırılan rastgele bir değer; böylece başka bir site giriş yapmış bir ziyaretçi adına formunuza gönderim yapamaz.

Doğrulamayı tarayıcı olmadan test etme

Kuralları bir dizi alan ve hataları döndüren bir fonksiyona koyun. Sayfa onu $_POST ile çağırır, siz de istediğiniz herhangi bir diziyle çağırabilirsiniz; bu da uç durumları denemeyi kolaylaştırır. Listeye kendi durumlarınızı ekleyin.

<?php
function validateSignup(array $input): array
{
    $errors = [];
    $name = $input['name'] ?? '';
    $email = $input['email'] ?? '';

    if (!is_string($name) || trim($name) === '') {
        $errors['name'] = 'required';
    }
    if (!is_string($email) || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'invalid';
    }
    return $errors;
}

$cases = [
    ['name' => 'Ada', 'email' => 'ada@example.com'],
    ['name' => '   ', 'email' => 'ada@example.com'],
    ['name' => 'Ada', 'email' => 'ada@'],
    ['name' => ['x'], 'email' => 'ada@example.com'],
    [],
];

foreach ($cases as $case) {
    echo json_encode($case), ' => ', json_encode(validateSignup($case)), "\n";
}

Dördüncü durum insanların unuttuğu durumdur. Bir istek name[]=x gönderebilir, bu da $_POST['name'] değerini bir dizi yapar ve trim() fonksiyonuna bir dizi vermek bir TypeError fırlatıp betiği durdurur. Önce is_string() kontrol etmek düşmanca girdiyi sıradan bir doğrulama hatasına çevirir. Önceki bloklardaki (string) dönüşümü de TypeError hatasını önler, ama diziyi Array kelimesine çevirir ve bir uyarı yazdırır, bu yüzden is_string() daha temiz kontroldür.

Sık yapılan hata: form gönderilmeden $_POST okumak

En yaygın ilk form betiği alanları dosyanın en üstünde okur:

<?php
$name = $_POST['name'];
echo "Hello, $name";

İlk ziyarette hiçbir şey gönderilmemiştir, bu yüzden PHP şunu yazdırır:

Warning: Undefined array key "name" in /var/www/form.php on line 2

Çözüm ilk bloktaki kalıptır: formu yalnızca istek bir POST olduğunda işleyin ve her alanı bir varsayılanla okuyun, $_POST['name'] ?? ''. Uyarı gönderimden sonra görünüyorsa HTML'deki name özniteliğini PHP'deki anahtarla karşılaştırın: name="Name" ve $_POST['name'] farklı anahtarlardır.