PHP: полный мануал с примерами, функциями и ООП

Форма поиска: два файла и один путь данных

Посетителю нужна инструкция к дрели. Он введёт «дрель», нажмёт «Найти» и увидит подтверждение «Вы ищете: дрель». Сейчас мы учимся доставлять текст с экрана на сервер; поиск по каталогу станет следующим изменением требования.

Форма — HTML-участок с полями и кнопкой. Она отправляет значения браузером. PHP не наблюдает набор букв в открытом поле; он получает только новый запрос после отправки. Нужны два файла из одного ZIP: form.html показывает поле, example.php получает запрос. Разместите их рядом.

<!doctype html>
<html lang="ru"><meta charset="utf-8">
<meta name="viewport" content="width=device-width,initial-scale=1">
<title>Поиск инструкции</title>
<h1>Найти инструкцию</h1>
<form action="example.php" method="get">
  <label for="query">Название инструмента</label>
  <input id="query" name="query" value="дрель">
  <button type="submit">Найти</button>
</form></html>

Пара вида query=дрель попадёт после вопросительного знака URL. Кириллица будет закодирована для адреса; PHP декодирует её при разборе. GET удобен для поиска: адрес можно сохранить. Пароль или изменение заказа для такого адреса не подходят. Поле без name, отключённое disabled поле и неотмеченный checkbox обычно не отправляются; readonly поле отправляется.

Обработчик: прочитать одно значение и безопасно показать его

$_GET — подготовленный PHP массив входных параметров. Квадратные скобки с 'query' выбирают значение по имени. ?? '' даёт пустую строку при отсутствующем ключе. Адрес можно изменить вручную, поэтому содержимому нельзя доверять.

Новые операции перед кодом: is_string($query) спрашивает, строка ли это; ! означает «не». if (...) { ... } выполняет блок при истинном условии. strlen считает байты. http_response_code(422) задаёт статус ошибки, exit выводит сообщение и прекращает этот запрос. header задаёт заголовок до тела ответа.

htmlspecialchars возвращает текст с заменой специальных для HTML символов. Первый аргумент — ввод, ENT_QUOTES | ENT_SUBSTITUTE включает обработку обоих видов кавычек и замену повреждённой кодировки, третий — UTF-8. Поэтому введённое <b>дрель</b> отображается буквами, а не становится HTML-разметкой. Функция не проверяет бизнес-смысл запроса.

<?php
$query = $_GET['query'] ?? '';
if (!is_string($query)) {
    http_response_code(422);
    exit('Введите одно название инструмента.');
}
if (strlen($query) > 200) {
    http_response_code(422);
    exit('Название слишком длинное: максимум 200 байтов UTF-8.');
}
header('Content-Type: text/html; charset=utf-8');
echo '<h1>Результат поиска</h1>';
echo '<p>Вы ищете: ', htmlspecialchars($query, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'), '</p>';
echo '<p><a href="form.html">Изменить запрос</a></p>';

Теперь поиск можно связать с каталогом: проверенная строка пойдёт в запрос базы через параметр PDO. Не склеивайте её с SQL и не считайте HTML-экранирование защитой SQL.

POST, флажок и массив тем: какие ключи реально придут

Появилось требование: выбрать инструкции и указать адрес для ответа. POST помещает поля формы в тело запроса. Адрес example.php?source=guide по-прежнему содержит отдельный параметр URL. В одном запросе получится $_GET['source'] и несколько ключей $_POST. POST сам не шифрует данные: на публичном сайте нужен HTTPS.

В первом опыте ниже форма только показывает выбранное человеку. Она не отправляет письмо и не подписывает его на рассылку; для изменения состояния дальше добавим сессию, CSRF и хранилище. Введите свой учебный адрес, снимите или поставьте флажки и сравните ответ.

<!doctype html>
<html lang="ru"><meta charset="utf-8">
<meta name="viewport" content="width=device-width,initial-scale=1">
<title>Выбор инструкций</title><h1>Получить список инструкций</h1>
<form action="example.php?source=guide" method="post">
  <p><label for="email">Адрес для ответа</label>
  <input id="email" name="email" type="email" value="anna@example.test"></p>
  <p><label><input name="subscribe" type="checkbox" value="yes"> Получать новости</label></p>
  <fieldset><legend>Темы инструкций</legend>
    <label><input name="topics[]" type="checkbox" value="drill" checked> Дрель</label>
    <label><input name="topics[]" type="checkbox" value="saw" checked> Пила</label>
  </fieldset>
  <button type="submit">Показать выбор</button>
</form></html>

Перед обработчиком разберём повторяющиеся действия. in_array($value, $allowed, true) ищет значение в разрешённом списке с проверкой типа. is_array проверяет список, count ограничивает число элементов. foreach ($topics as $topic) по очереди кладёт каждый выбранный код в $topic. isset($names[$topic]) проверяет наличие перевода кода в название. array_unique убирает дубли после проверки всех значений. Тернарная запись условие ? одно : другое выбирает текст «да» или «нет».

<?php
header('Content-Type: text/plain; charset=utf-8');
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    header('Allow: POST');
    exit("Откройте form.html и отправьте форму.\n");
}
$email = $_POST['email'] ?? null;
$subscribe = $_POST['subscribe'] ?? 'no';
$topics = $_POST['topics'] ?? [];
if (!is_string($email) || strlen($email) > 254
    || filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
    http_response_code(422);
    exit("Укажите один корректный адрес для ответа.\n");
}
if (!in_array($subscribe, ['yes', 'no'], true) || !is_array($topics) || count($topics) > 2) {
    http_response_code(422);
    exit("Проверьте флажки формы.\n");
}
$names = ['drill' => 'Дрель', 'saw' => 'Пила'];
foreach ($topics as $topic) {
    if (!is_string($topic) || !isset($names[$topic])) {
        http_response_code(422);
        exit("Выберите тему из списка.\n");
    }
}
echo 'Адрес для ответа: ', $email, "\n";
echo 'Новости: ', $subscribe === 'yes' ? 'да' : 'нет', "\n";
echo "Выбранные инструкции:\n";
foreach (array_unique($topics) as $topic) {
    echo '- ', $names[$topic], "\n";
}

Для отладки выберите запрос в Network → Payload/Form Data: сравните отправленные имена с PHP-ключами. Если данных нет, сначала проверьте name, action, method и факт отправки нужной формы. Значение в консоли JavaScript ещё не является телом запроса — это реальная проблема из прочитанного обсуждения Stack Overflow. Не выводите публично весь $_SERVER или персональные данные ради диагностики.

Отсутствует, пусто, ноль, массив: четыре разных состояния

Система записи на консультацию может принимать «0» как отсутствие дополнительных участников. Если использовать empty, этот допустимый ноль исчезнет вместе с пустой строкой. Разделим тип и значение явно. Ниже входные массивы заданы кодом для повторяемого CLI-опыта; настоящий браузер создаёт их тем же способом, показанным выше.

<?php
declare(strict_types=1);

$requests = [[], ['guests' => ''], ['guests' => '0'], ['guests' => ['0']]];
foreach ($requests as $input) {
    $guests = $input['guests'] ?? null;
    if ($guests === null) {
        echo "Укажите число дополнительных участников.\n";
    } elseif (!is_string($guests)) {
        echo "Нужно одно число, а не список.\n";
    } elseif ($guests === '') {
        echo "Поле оставлено пустым.\n";
    } elseif ($guests === '0') {
        echo "Запись для одного человека, без гостей.\n";
    }
}

Укажите число дополнительных участников.
Поле оставлено пустым.
Запись для одного человека, без гостей.
Нужно одно число, а не список.

Обработчик формы получает строки и массивы, но не надёжный тип int из type=number. Прямое (int) "2cats" скрывает ошибку ввода. Для поля количества используйте проверку целого с диапазоном, сравнивая результат строго с false. Для JSON собственное null отличается от отсутствия; там полезен array_key_exists. В обычном POST null служит здесь нашей меткой отсутствия.

Если POST неожиданно пуст целиком, проверьте ещё Content-Type: JSON читают из php://input, а не из $_POST. При превышении post_max_size PHP может оставить пустыми одновременно $_POST и $_FILES. Лимиты запроса согласуют с веб-сервером; отсутствие полей нельзя автоматически считать сознательным выбором человека.

От показа данных к настоящей заявке: договор и порядок работы

Теперь человек просит мастерскую починить инструмент. После успешного ввода он увидит «Заявка сохранена. Мы ответим на указанный адрес». В закрытом каталоге появится JSON с именем, адресом и текстом. Это локальное хранилище учебной мастерской: письмо ещё не отправляется. При ошибке данные не сохраняются, понятное сообщение показывается у поля, допустимые значения остаются для исправления.

Прежде чем собирать проект, задаём договор: имя — одна непустая строка до 80 байтов UTF-8, адрес — одна строка до 254 байтов и синтаксически допустимый email, сообщение — непустая строка до 2000 байтов. trim убирает внешние пробелы только у этих полей; для пароля такое правило нельзя переносить автоматически. Адрес anna@example.test намеренно учебный. Проверка формата не доказывает существование ящика.

Большой обработчик легче понять по обязанностям файлов. example.php принимает запрос и строит HTML; lib/validate.php возвращает очищенные значения и ошибки; lib/store.php записывает успешную заявку. public/index.php — короткая точка входа. Каталог storage лежит рядом с public, поэтому при правильно заданном document root его нельзя скачать по URL.

Если объявления функций и циклы ещё незнакомы, разберите вызов и возврат значения и условия и повторение. Но договор текущего проекта дан здесь: можно проследить каждую строку данных от поля до результата.

Сначала отдельно получить значения и понятные ошибки

<?php
function validateRequest(array $input): array
{
    $errors = [];
    $values = ['name' => '', 'email' => '', 'message' => ''];
    foreach (['name' => 80, 'email' => 254, 'message' => 2000] as $key => $maxBytes) {
        $raw = $input[$key] ?? null;
        if (!is_string($raw)) {
            $errors[$key] = 'Заполните поле одной строкой.';
            continue;
        }
        if (preg_match('//u', $raw) !== 1 || strlen($raw) > $maxBytes) {
            $errors[$key] = 'Текст слишком длинный или содержит неверную кодировку.';
            continue;
        }
        $values[$key] = trim($raw);
        if ($values[$key] === '') {
            $errors[$key] = 'Заполните это поле.';
        }
    }
    if (!isset($errors['email'])
        && filter_var($values['email'], FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'Укажите адрес вида anna@example.test.';
    }
    return ['values' => $values, 'errors' => $errors];
}

<?php
declare(strict_types=1);

require __DIR__ . '/lib/validate.php';
$checked = validateRequest(['name' => ' Анна ', 'email' => 'anna@example.test', 'message' => 'Заменить патрон']);
echo 'Имя для сохранения: ', $checked['values']['name'], "\n";
echo 'Работа: ', $checked['values']['message'], "\n";
$bad = validateRequest(['name' => ['Анна'], 'email' => 'не адрес', 'message' => '']);
foreach ($bad['errors'] as $field => $text) {
    echo $field, ': ', $text, "\n";
}

Имя для сохранения: Анна
Работа: Заменить патрон
name: Заполните поле одной строкой.
message: Заполните это поле.
email: Укажите адрес вида anna@example.test.

Массив ошибок связан с конкретными полями, а не смешан с HTML. Массив допустимых значений хранится отдельно: опасный массив name[] не возвращается в input, слишком длинный текст не отражается целиком. Синтаксически неверный, но короткий email остаётся видимым для исправления. Значения экранируются в шаблоне.

Затем сохранить проверенную заявку в закрытый файл

saveRequest получает только values после успешной проверки и фиксированный каталог. Она создаёт случайное имя; имя посетителя никогда не становится путём. JSON — текстовый формат с именованными полями. Для Анны содержимое файла будет именно таким, независимо от случайного имени:

{"name":"Анна","email":"anna@example.test","message":"Заменить патрон"} — та же структура; наш JSON_PRETTY_PRINT запишет её с отступами и переводом строки.

Перед листингом: fopen с режимом xb создаёт новый двоичный файл и отказывается, если имя занято. fwrite возвращает число записанных байтов; сравниваем с strlen JSON. fflush передаёт буфер потока на следующий уровень ввода-вывода, но не обещает устойчивость к потере питания. fclose освобождает дескриптор. При частичной записи catch закрывает и удаляет только что созданный неполный файл. Ошибка передаётся наверх оператором throw; отправленный текст не теряется из формы.

<?php
function saveRequest(array $values, string $directory): string
{
    $id = bin2hex(random_bytes(16));
    $json = json_encode($values, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT | JSON_THROW_ON_ERROR) . "\n";
    $path = $directory . '/' . $id . '.json';
    // x создаёт новый файл; существующий файл никогда не перезаписывается.
    $handle = fopen($path, 'xb');
    if ($handle === false) {
        throw new RuntimeException('request_open_failed');
    }
    try {
        $written = fwrite($handle, $json);
        if ($written !== strlen($json) || !fflush($handle)) {
            throw new RuntimeException('request_write_failed');
        }
    } catch (Throwable $error) {
        fclose($handle);
        unlink($path);
        throw $error;
    }
    fclose($handle);
    return $id;
}

Полная практика записи/чтения текста и CSV — в файловой главе. Здесь хранилище является последней операцией после проверки; сообщение «сохранено» не предшествует проверке записи.

Собрать и запустить форму мастерской целиком

Распакуйте ZIP без переименования: example.php находится в корне, внутри есть public/index.php, lib/validate.php, lib/store.php и storage/.keep. Запустите из корня: php -d display_errors=0 -d log_errors=1 -S 127.0.0.1:8080 -t public. Откройте http://127.0.0.1:8080/index.php. Для этого примера нужны PHP с JSON и сессиями и возможность записи в storage. Публичный корень — только public; запуск без -t public откроет лишние файлы.

В public/index.php parse_url с PHP_URL_PATH выделяет путь из адреса запроса. Разрешены только / и /index.php, остальные получают 404. Это нужно ещё и потому, что встроенный PHP-сервер может передавать неизвестные пути в index.php. dirname(__DIR__) поднимается из public в корень проекта; require подключает наш example.php.

В начале example.php ещё ничего не напечатано: можно начать сессию и отправить заголовки. ??= задаёт токен, только если его ещё нет. При POST сравниваем токен, получаем checked, сохраняем и посылаем Location со статусом 303. exit сразу прекращает код после перенаправления. GET забирает одноразовое notice и показывает подтверждение.

В HTML альтернативная запись if (...): ... endif; и foreach (...): ... endforeach; выполняет те же условия и циклы, что фигурные скобки. Общий список ошибок получает фокус; ссылки ведут к полям, aria-describedby связывает поле с текстом ошибки. Серверная проверка сработает и при обходе HTML required.

<?php
session_start(['use_strict_mode' => true, 'cookie_httponly' => true, 'cookie_samesite' => 'Lax']);
require __DIR__ . '/lib/validate.php';
require __DIR__ . '/lib/store.php';
function h(string $text): string {
    return htmlspecialchars($text, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
}
$_SESSION['csrf'] ??= bin2hex(random_bytes(32));
$values = ['name' => '', 'email' => '', 'message' => ''];
$errors = [];
$notice = $_SESSION['notice'] ?? '';
unset($_SESSION['notice']);
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $token = $_POST['csrf'] ?? null;
    if (!is_string($token) || !hash_equals($_SESSION['csrf'], $token)) {
        http_response_code(403);
        $errors['form'] = 'Форма устарела. Обновите страницу и отправьте её снова.';
    } else {
        $checked = validateRequest($_POST);
        $values = $checked['values'];
        $errors = $checked['errors'];
        if ($errors !== []) {
            http_response_code(422);
        } else {
            try {
                saveRequest($values, __DIR__ . '/storage');
                $_SESSION['notice'] = 'Заявка сохранена. Мы ответим на указанный адрес.';
                $_SESSION['csrf'] = bin2hex(random_bytes(32));
                header('Location: /index.php', true, 303);
                exit;
            } catch (Throwable $error) {
                error_log('Request storage failed: ' . get_class($error));
                http_response_code(503);
                $errors['form'] = 'Сейчас не удалось сохранить заявку. Ваш текст остался в форме; попробуйте позже.';
            }
        }
    }
} elseif ($_SERVER['REQUEST_METHOD'] !== 'GET') {
    http_response_code(405);
    header('Allow: GET, POST');
    exit('Допустимы GET и POST.');
}
header('Content-Type: text/html; charset=utf-8');
header('Cache-Control: no-store');
?>
<!doctype html>
<html lang="ru"><head><meta charset="utf-8">
<meta name="viewport" content="width=device-width,initial-scale=1">
<title>Заявка в мастерскую</title>
<style>body{font:18px/1.5 system-ui;max-width:42rem;margin:2rem auto;padding:0 1rem}label{display:block}input,textarea,button{font:inherit;box-sizing:border-box;max-width:100%;padding:.5rem}input,textarea{width:100%}p{overflow-wrap:anywhere}.error{color:#9b1c1c}</style>
</head><body><h1>Заявка в мастерскую</h1>
<?php if ($notice !== ''): ?><p role="status"><?= h($notice) ?></p><?php endif; ?>
<?php if ($errors !== []): ?>
<div role="alert" id="errors" tabindex="-1"><h2>Проверьте заявку</h2><ul>
<?php foreach ($errors as $key => $text): ?>
<li><a href="#<?= $key === 'form' ? 'request-form' : h($key) ?>"><?= h($text) ?></a></li>
<?php endforeach; ?></ul></div>
<?php endif; ?>
<form id="request-form" action="/index.php" method="post">
<input type="hidden" name="csrf" value="<?= h($_SESSION['csrf']) ?>">
<?php foreach (['name' => 'Ваше имя', 'email' => 'Адрес для ответа', 'message' => 'Что нужно сделать?'] as $key => $label): ?>
<p><label for="<?= h($key) ?>"><?= h($label) ?></label>
<?php if ($key === 'message'): ?>
<textarea id="message" name="message" rows="5" required aria-describedby="message-error"><?= h($values[$key]) ?></textarea>
<?php else: ?>
<input id="<?= h($key) ?>" name="<?= h($key) ?>" type="<?= $key === 'email' ? 'email' : 'text' ?>" value="<?= h($values[$key]) ?>" required aria-describedby="<?= h($key) ?>-error">
<?php endif; ?>
<span class="error" id="<?= h($key) ?>-error"><?= h($errors[$key] ?? '') ?></span></p>
<?php endforeach; ?>
<p>Пишите коротко: имя до 80, адрес до 254, сообщение до 2000 байтов UTF-8. Кириллическая буква обычно занимает два байта.</p>
<button type="submit">Сохранить заявку</button>
</form>
<?php if ($errors !== []): ?><script>document.getElementById('errors').focus();</script><?php endif; ?>
</body></html>

<?php
$path = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH);
if ($path !== '/' && $path !== '/index.php') {
    http_response_code(404);
    exit('Страница не найдена.');
}
require dirname(__DIR__) . '/example.php';

Это законченная локальная заявка. Для публичного приёма до выпуска понадобятся HTTPS и cookie_secure=true, согласованные лимиты веб-сервера/PHP, ограничение частоты и процесс обработки заявок. Здесь CSRF не является защитой от автоматического спама и не заменяет аутентификацию или проверку права изменять чужую заявку.

303 улучшает поведение браузера после успеха. Повторный параллельный запрос или потерянный ответ всё ещё требуют договорённости об идемпотентности и уникальном ключе операции в хранилище; одна смена токена не является универсальной гарантией «ровно один раз». Следующий шаг: добавить необязательный телефон с собственной политикой отсутствия/пустоты и перенести сохранение в PDO.

Проверяем заявку слоями

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

Форма доставки спрашивает email, количество и согласие с условиями. HTML required, type=email и min полезны человеку, но их легко обойти. Сервер обязан повторить существенные проверки. Хороший обработчик различает повреждённый запрос, неверное значение, запрет операции и сбой хранилища. Это позволяет вернуть человеку понятную ошибку поля, не подменяя все неудачи сообщением «что-то пошло не так».

Сначала проверяют метод и ожидаемый Content-Type, затем ограничивают размер запроса на веб-сервере и в PHP. Потом извлекают поля с проверкой формы данных: строка это или массив. После этого выполняют допустимую нормализацию, синтаксическую проверку и бизнес-правила. Для email можно убрать внешние пробелы; пароль автоматически обрезать нельзя, иначе введённый секрет незаметно изменится. Цена товара, скидка и user_id берутся из доверенного серверного состояния, а не из скрытых полей.

Проверка CSRF подтверждает связь запроса с сессией; проверка авторизации подтверждает право редактировать именно этот заказ. Это разные барьеры. Для публичной контактной формы всё равно нужны ограничение частоты, лимиты длины и контроль злоупотреблений. CAPTCHA не заменяет ни одну из этих проверок. Важные правила должны жить в сервисе, чтобы их не обошёл другой контроллер или CLI-импорт.

Строка, пустое поле и массив — разные случаи

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

<?php
declare(strict_types=1);

function validateOrder(array $input): array {
    $errors = [];
    $email = $input['email'] ?? null;
    $quantity = $input['quantity'] ?? null;
    if (!is_string($email) || strlen($email) > 254
        || filter_var(trim($email), FILTER_VALIDATE_EMAIL) === false) {
        $errors['email'] = 'Укажите корректный email';
    }
    if (!is_string($quantity)
        || !preg_match('/\A[1-9][0-9]{0,2}\z/D', $quantity)
        || (int) $quantity > 100) {
        $errors['quantity'] = 'Количество: от 1 до 100';
    }
    return $errors;
}
foreach ([['email'=>'a@example.com','quantity'=>'2'],
    ['email'=>['a@example.com'],'quantity'=>'2cats'],
    ['email'=>'a@example.com','quantity'=>'0']] as $input) {
    echo implode(',', array_keys(validateOrder($input))) ?: 'ok';
    echo "
";
}

ok
email,quantity
quantity

В больших формах возвращайте карту ошибок и очищенные значения отдельно. Не складывайте ошибки в строку с HTML. Возле поля используйте aria-describedby, список ошибок в начале формы и фокус на первом проблемном поле. При повторном показе сохраняйте безопасные значения, но не пароль, файл или секретный код. Значения экранируются в момент помещения в HTML, а не перед записью в базу: иначе при следующем выводе появляются двойные сущности.

Если поле необязательное, заранее решите разницу между отсутствием, пустой строкой и null. Для частичного обновления профиля отсутствие телефона часто означает «не менять», а пустая строка — «очистить». Оператор ?? объединяет отсутствие и null, поэтому для такого API может потребоваться array_key_exists. Излишне удобное автоматическое приведение типов на границе затрудняет диагностику.

CSRF проверяется, а не просто присутствует

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

<?php
declare(strict_types=1);

function validCsrf(mixed $submitted, mixed $stored): bool {
    return is_string($submitted) && is_string($stored)
        && strlen($stored) === 64 && strlen($submitted) === 64
        && hash_equals($stored, $submitted);
}
$stored = str_repeat('a', 64); // Только фиксированный тест, не генератор!
foreach ([$stored, str_repeat('b',64), ['token']] as $candidate) {
    echo validCsrf($candidate,$stored) ? "accept
" : "reject
";
}

accept
reject
reject

На странице с несколькими формами не перезаписывайте единственный токен при каждом выводе input: первая форма станет недействительной. Можно использовать токен сессии или ограниченный набор токенов отдельных действий. Смена токена после авторизации полезна, а принудительное уничтожение после любой неудачной проверки ломает соседние вкладки. Политику срока жизни и повторного использования выбирают вместе с интерфейсом.

Токен передают скрытым полем или согласованным заголовком, не параметром URL: адреса попадают в историю, аналитику и журналы. SameSite снижает часть риска, но не служит универсальной заменой CSRF. Для JSON API с bearer-токеном модель отличается от cookie-аутентификации; решение зависит от того, прикладывает ли браузер учётные данные автоматически.

Сохранение, 303 и защита от дублей

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

После успешного сохранения перенаправьте на локальную страницу результата с 303. До этого сохраните короткое flash-сообщение в сессии, закройте её запись и завершите обработчик. PRG избавляет от обычного повторного POST при обновлении. Однако два нажатия, мобильный обрыв связи и повтор клиента всё ещё могут создать два заказа. Нужен ключ идемпотентности: храните его с пользователем и отпечатком существенных полей под UNIQUE-ограничением. Повтор того же ключа возвращает прежний результат; другой набор полей с тем же ключом отклоняется.

В журнал не записывают весь $_POST: там бывают пароли, документы и токены. Достаточно идентификатора запроса, типа операции, кодов ошибок и безопасных метаданных. Ошибки валидации обычно не требуют трассировки исключения. Не отправляйте письмо до подтверждения транзакции; потерянное письмо можно повторить через очередь, а откатить уже доставленное нельзя. Полный проект формы в мануале связывает эти решения в единый рабочий маршрут.

Лимиты формы и неожиданно отсутствующие поля

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

PHP и веб-сервер могут ограничить не только байты, но и число входных полей. Если импортёр прислал огромную форму с тысячами input, max_input_vars способен обрезать хвост. Обработчик не должен принимать неполную заявку как полноценную. Для больших пакетных операций лучше отдельный формат и контракт с количеством элементов, лимитами и явной проверкой целостности. JSON также ограничивают по байтам, глубине и числу записей.

Checkbox без отметки обычно отсутствует в POST. Поэтому для обычной формы «согласен» проверяют ожидаемое значение, а для PATCH отсутствие может означать «не менять». empty('0') возвращает true, что опасно для допустимого нулевого значения. Проверяйте условия, соответствующие смыслу поля, а не универсальную «непустоту».

strlen считает байты. Если интерфейс обещает до 100 символов имени, для UTF-8 нужен согласованный подсчёт через mb_strlen, а сложные пользовательские символы могут требовать grapheme_strlen. Одновременно сохраняйте байтовый предел, чтобы ограничить нагрузку. Политика нормализации Unicode должна быть одинаковой при регистрации, поиске и проверке уникальности; нельзя незаметно менять идентификатор только в одном месте.

Практика: проверьте решение, а не только успешный путь

Развитие собранной заявки: ниже те же проверки применяются к заказам. Вы уже видели HTML-поля, строковые значения, карту ошибок, сессию и запись. Теперь обсуждаем дополнительные бизнес-правила и ограничения.

Проверьте email[]=x, quantity=1e2, quantity=0, отсутствующий CSRF, чужой order_id и два одинаковых POST одновременно. Какие проверки должны остановить каждый случай?