PHP $_GET 和 $_POST：读取 URL 参数和表单数据

$_GET 是 URL 查询字符串组成的数组，所以 article.php?id=42&lang=en 会得到 $_GET['id'] === '42' 和 $_GET['lang'] === 'en'。$_POST 是用 method="post" 提交的表单字段组成的数组。读取两者时都要给出默认值，$_GET['id'] ?? null，因为只要没有传这个参数，对应的键就不存在。

运行这段代码，然后点击链接：每次点击都会重新运行脚本，$_GET 中填入的是链接里的查询字符串。

<?php
$languages = ['php' => 'PHP', 'python' => 'Python', 'sql' => 'SQL'];
$lang = $_GET['lang'] ?? null;
?>
<p>
<?php foreach ($languages as $key => $label): ?>
  <a href="?lang=<?= $key ?>"><?= $label ?></a>
<?php endforeach; ?>
</p>
<?php if ($lang === null): ?>
  <p>Pick a language.</p>
<?php elseif (isset($languages[$lang])): ?>
  <p>You picked <strong><?= $languages[$lang] ?></strong>. $_GET is: <code><?= htmlspecialchars(json_encode($_GET)) ?></code></p>
<?php else: ?>
  <p>Unknown language.</p>
<?php endif; ?>

$_GET['lang'] 是 URL 里写的任何内容，而不仅仅是你输出的那三个链接。任何人都可以在地址栏里输入 ?lang=<script>，所以这段代码是在 $languages 里查找这个值，而不是直接输出它，并且在唯一输出请求数据的地方做了转义。

从查询字符串读取数字

$_GET 中的每个值都是字符串。对于页码，可以用 filter_var() 一步完成验证和转换，并在值缺失、不是数字或超出范围时回退到默认值。点击几个页码，再试试 Page 999 和 Page abc 这两个链接。

<?php
$items = range(1, 23);
$perPage = 5;
$pages = (int) ceil(count($items) / $perPage);

$page = filter_var($_GET['page'] ?? 1, FILTER_VALIDATE_INT, [
    'options' => ['default' => 1, 'min_range' => 1, 'max_range' => $pages],
]) ?: 1; // ?: 1 also covers ?page[]=2, an array, where 'default' is not used

$shown = array_slice($items, ($page - 1) * $perPage, $perPage);
?>
<p>Page <?= $page ?> of <?= $pages ?>: items <?= implode(', ', $shown) ?></p>
<p>
  <?php if ($page > 1): ?><a href="?page=<?= $page - 1 ?>">Previous</a><?php endif; ?>
  <?php for ($i = 1; $i <= $pages; $i++): ?>
    <?= $i === $page ? "<strong>$i</strong>" : "<a href=\"?page=$i\">$i</a>" ?>
  <?php endfor; ?>
  <?php if ($page < $pages): ?><a href="?page=<?= $page + 1 ?>">Next</a><?php endif; ?>
  <a href="?page=999">Page 999</a> <a href="?page=abc">Page abc</a>
</p>

对于 "3"，filter_var() 返回整数 3；对于其他任何字符串，返回 default 选项的值，所以 $page 始终是一个可用的 int。其他验证器见 filter_var 页面。

用 $_POST 读取表单数据

method="post" 的表单会在请求体中发送字段，PHP 按每个输入框的 name 把它们放进 $_POST。$_SERVER['REQUEST_METHOD'] 告诉你当前请求是第一次访问（GET）还是提交（POST）。填写表单并点 Send，就能看到这两种情况。

<?php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
?>
<form method="post">
  <input name="title" placeholder="Title">
  <input name="tags" placeholder="Tags, comma separated">
  <button>Send</button>
</form>
<p>Request method: <strong><?= htmlspecialchars($method) ?></strong></p>
<?php if ($method === 'POST'): ?>
  <pre><?= htmlspecialchars(print_r($_POST, true)) ?></pre>
  <?php $tags = array_filter(array_map('trim', explode(',', (string) ($_POST['tags'] ?? '')))); ?>
  <p><?= count($tags) ?> tag(s): <?= htmlspecialchars(implode(' | ', $tags)) ?></p>
<?php endif; ?>

空的文本框仍然会被发送，值为 ""，所以提交之后，即使访问者什么都没输入，$_POST['title'] 也是存在的。在服务器上 REQUEST_METHOD 总是有值；?? 'GET' 只是为了在命令行用 php 运行文件时不出警告。验证并重新显示表单的完整模式见表单页面。

使用 method="get" 的搜索表单

如果表单的结果应该是一个可以分享的 URL，比如搜索框，就用 GET。浏览器会把字段转换成查询字符串（?q=sort&level=beginner），脚本从 $_GET 中读取它们，和链接完全一样。搜索一下 array 或 string。

<?php
$docs = [
    ['title' => 'Sort an array', 'level' => 'beginner'],
    ['title' => 'Split a string', 'level' => 'beginner'],
    ['title' => 'Array destructuring', 'level' => 'intermediate'],
    ['title' => 'String interpolation', 'level' => 'beginner'],
    ['title' => 'Generators', 'level' => 'advanced'],
];

$q = trim((string) ($_GET['q'] ?? ''));
$level = (string) ($_GET['level'] ?? '');

$found = array_filter($docs, function ($doc) use ($q, $level) {
    return ($q === '' || stripos($doc['title'], $q) !== false)
        && ($level === '' || $doc['level'] === $level);
});
$e = fn ($s) => htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
?>
<form method="get">
  <input name="q" value="<?= $e($q) ?>" placeholder="Search">
  <select name="level">
    <option value="">Any level</option>
    <?php foreach (['beginner', 'intermediate', 'advanced'] as $l): ?>
      <option <?= $l === $level ? 'selected' : '' ?>><?= $l ?></option>
    <?php endforeach; ?>
  </select>
  <button>Search</button>
</form>
<p><?= count($found) ?> result(s)<?= $q !== '' ? ' for "' . $e($q) . '"' : '' ?></p>
<ul>
<?php foreach ($found as $doc): ?>
  <li><?= $e($doc['title']) ?> (<?= $doc['level'] ?>)</li>
<?php endforeach; ?>
</ul>

用 http_build_query 构建链接

手写 "?q=$q&page=2"，一旦 $q 中包含空格、& 或 # 就会出错。http_build_query() 会帮你对每个值编码；当结果放进 href 时还要经过 htmlspecialchars()，因为在 HTML 中 & 应该写成 &。

<?php
$params = ['q' => 'rock & roll', 'page' => 2, 'tags' => ['php', 'web']];

$query = http_build_query($params);
echo $query, "\n";

echo urlencode('a b&c'), "\n";      // form style: space becomes +
echo rawurlencode('a b&c'), "\n";   // URL path style: space becomes %20

parse_str($query, $back);           // the reverse: query string to array
print_r($back);

echo 'href="?', htmlspecialchars($query), '"', "\n";  // ready for an <a> tag

PHP 正是用带两个参数的 parse_str() 从查询字符串构建 $_GET 的，所以它很适合用来测试。一定要传第二个参数；旧的单参数写法会直接创建变量，已在 PHP 8 中移除。

$_REQUEST 以及为什么要避免使用它

$_REQUEST 是把 $_GET 和 $_POST 合并成的一个数组。PHP 自带的 php.ini 文件设置了 request_order = "GP"，所以两者包含相同的键时，POST 的值优先；如果没有这个设置，Cookie 也会被合并进来：

<?php
// POST /save.php?id=1 with a form field id=2
echo $_GET['id'];      // "1"
echo $_POST['id'];     // "2"
echo $_REQUEST['id'];  // "2"

它看起来很方便，但隐藏了值的来源。一个根据 $_REQUEST['id'] 删除记录的处理程序，用一个普通链接就能触发，而这正是只允许 POST 的操作想要防止的。应该按名字读取 $_GET 或 $_POST。

GET 和 POST：该用哪一个

最重要的一条规则：GET 请求不能修改任何东西。 浏览器会预取链接，爬虫会跟随链接，人们会分享链接，所以一个 ?delete=5 链接迟早会被某个本不打算删除任何东西的程序访问。两种方法本身都不加密：HTTPS 同时保护两者，POST 只是让数据不出现在 URL、浏览器历史记录和服务器日志中。