$_GET và $_POST trong PHP: đọc query string và dữ liệu form

$_GET là một mảng chứa query string của URL, nên article.php?id=42&lang=en cho bạn $_GET['id'] === '42' và $_GET['lang'] === 'en'. $_POST là một mảng chứa các trường của form gửi bằng method="post". Hãy đọc cả hai kèm giá trị mặc định, $_GET['id'] ?? null, vì khóa sẽ không tồn tại mỗi khi thiếu tham số.

Chạy khối code, rồi bấm vào các liên kết: mỗi lần bấm, script chạy lại với $_GET được lấy từ query string của liên kết.

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] là bất cứ thứ gì URL ghi, không chỉ ba liên kết bạn đã in ra. Ai cũng có thể gõ ?lang=<script> vào thanh địa chỉ, đó là lý do khối code tra giá trị trong $languages thay vì in thẳng nó ra, và escape ở chỗ duy nhất có in dữ liệu từ request.

Đọc một số từ query string

Mọi giá trị trong $_GET đều là chuỗi. Với số trang, hãy kiểm tra và chuyển kiểu trong một bước bằng filter_var() và dùng giá trị mặc định khi giá trị bị thiếu, không phải số hoặc nằm ngoài khoảng. Bấm qua các trang, rồi thử các liên kết Page 999 và Page abc.

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

filter_var() trả về số nguyên 3 với "3" và trả về tùy chọn default với mọi chuỗi khác, nên $page luôn là một số nguyên dùng được. Trang filter_var liệt kê các bộ kiểm tra khác.

Đọc dữ liệu form với $_POST

Form có method="post" gửi các trường trong phần thân request, và PHP đặt chúng vào $_POST theo name của từng ô nhập. $_SERVER['REQUEST_METHOD'] cho bạn biết request hiện tại là lần truy cập đầu (GET) hay là lần submit (POST). Điền form rồi nhấn Send để xem cả hai.

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

Ô văn bản để trống vẫn được gửi đi, dưới dạng "", nên sau khi submit $_POST['title'] vẫn tồn tại dù người truy cập không gõ gì. Trên máy chủ, REQUEST_METHOD luôn có giá trị; ?? 'GET' chỉ giúp script không báo lỗi khi bạn chạy tệp bằng php trên dòng lệnh. Mẫu đầy đủ để kiểm tra và hiển thị lại form có ở trang form.

Form tìm kiếm với method="get"

Dùng GET cho form mà kết quả nên là một URL chia sẻ được, như ô tìm kiếm. Trình duyệt biến các trường thành query string (?q=sort&level=beginner) và script đọc chúng từ $_GET, y hệt một liên kết. Hãy tìm array hoặc string.

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

Tạo liên kết với http_build_query

Tự viết "?q=$q&page=2" sẽ hỏng ngay khi $q chứa khoảng trắng, & hoặc #. http_build_query() mã hóa mọi giá trị giúp bạn, và kết quả đi qua htmlspecialchars() khi được đặt vào href, vì trong HTML & nên là &.

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

parse_str() với hai đối số chính là cách PHP tạo $_GET từ một query string, nên rất tiện khi kiểm thử. Luôn truyền đối số thứ hai; dạng một đối số cũ vốn tạo ra biến đã bị bỏ trong PHP 8.

$_REQUEST và lý do nên tránh

$_REQUEST là $_GET và $_POST gộp thành một mảng. Các tệp php.ini đi kèm PHP đặt request_order = "GP", nên khi cả hai có cùng một khóa, POST thắng; không có thiết lập đó, cookie cũng bị gộp vào:

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

Trông thì tiện, nhưng nó che giấu nguồn gốc của giá trị. Một đoạn xử lý xóa bản ghi dựa trên $_REQUEST['id'] có thể bị kích hoạt bởi một liên kết đơn giản, đúng thứ mà các thao tác chỉ dùng POST muốn ngăn chặn. Hãy đọc $_GET hoặc $_POST theo đúng tên.

GET hay POST: nên dùng cái nào

Quy tắc quan trọng nhất: một request GET không được thay đổi bất cứ thứ gì. Trình duyệt tải trước liên kết, crawler đi theo liên kết, và mọi người chia sẻ liên kết, nên một liên kết ?delete=5 sớm muộn cũng sẽ bị một thứ không hề có ý định xóa đi theo. Bản thân không phương thức nào được mã hóa: HTTPS bảo vệ cả hai, còn POST chỉ giữ dữ liệu khỏi URL, lịch sử trình duyệt và log của máy chủ.