プロのようにフォームを扱いましょう。正しいHTTPメソッド、厳密な入力検証、そして安全な再表示です。
このレッスンを Kodokon で開くフォームは、ユーザーとあなたのPHPコードとの最初の接点です。getメソッドはデータをURLの中（?q=pizza）に置きます。ページをブックマークしたり共有したりできるので、検索やフィルターに最適です。postメソッドはデータをリクエストのボディに乗せて運びます。リクエストが何かを変更するとき（アカウント作成、注文、削除）や、機密データを運ぶときに必須のメソッドです。PHPは受け取った値を$_GETと$_POSTというスーパーグローバルに格納します。
<form action="search.php" method="get">
<label for="q">Search</label>
<input id="q" name="q" type="text">
<button type="submit">Search</button>
</form>
<?php
$query = trim($_GET['q'] ?? '');
if ($query !== '') {
echo "<p>You are searching for: " .
htmlspecialchars($query, ENT_QUOTES) . "</p>";
}
?>プロの鉄則その一。入ってくるデータを決して信用しないこと。ユーザーは何でも送れます。あなたのフォームの外で作られた偽装された値も含めてです。filter_input()関数は、値の読み取りと検証を一度に行います。検証済みの値を返し、無効ならfalse、フィールドが存在しなければnullを返します。エラーメッセージで見分けるべき三つのケースです。
<?php
declare(strict_types=1);
$errors = [];
$email = filter_input(
INPUT_POST,
'email',
FILTER_VALIDATE_EMAIL
);
$age = filter_input(
INPUT_POST,
'age',
FILTER_VALIDATE_INT,
['options' => ['min_range' => 18, 'max_range' => 120]]
);
$name = trim((string) ($_POST['name'] ?? ''));
if ($name === '' || mb_strlen($name) > 50) {
$errors[] = "Name required (50 characters max).";
}
if (!is_string($email)) {
$errors[] = "Invalid email address.";
}
if (!is_int($age)) {
$errors[] = "Invalid age (between 18 and 120).";
}
if ($errors === []) {
echo "Registration valid.";
}検証が失敗したとき、空のフォームを返してはいけません。ユーザーが入力した値（"sticky"（貼り付く）フォーム）と、該当するフィールドの隣にエラーメッセージを再表示しましょう。再表示するどんな値もhtmlspecialchars()を通さなければなりません。これがタグを無害化し、スクリプトの注入を防ぐものです。
<?php
$name = trim($_POST['name'] ?? '');
$hasError = isset($_POST['name']) && $name === '';
$safeName = htmlspecialchars($name, ENT_QUOTES);
?>
<form method="post" action="">
<label for="name">Your name</label>
<input id="name" name="name"
value="<?= $safeName ?>">
<?php if ($hasError): ?>
<p>Name is required.</p>
<?php endif; ?>
<button type="submit">Submit</button>
</form>