PHP: 外部から来る変数

外部から来る変数

HTML フォーム (GET と POST)

フォームが PHP スクリプトに投稿された時、フォームから渡された全ての変数は PHP により自動的にスクリプトから使用可能となります。この情報にアクセスする手段は複数あります。例を以下に示します。

例1 簡単なHTMLフォーム

<form action="foo.php" method="post">
    Name:  <input type="text" name="username" /><br />
    Email: <input type="text" name="email" /><br />
    <input type="submit" name="submit" value="Submit me!" />
</form>

HTML フォームからデータにアクセスする方法は二種類だけしかありません。現在使える方法を、以下にまとめます。

例2 簡単なPOST HTMLフォームからのデータにアクセスする

<?php 
echo $_POST['username'];
echo $_REQUEST['username'];
?>

GETフォームを使用した場合も同じですが、かわりに適当な定義済みの GET変数を使用するところが異なります。 GETは、QUERY_STRING (URLの'?'の後の情報)にも代入されます。例えば、 http://www.example.com/test.php?id=3には、 $_GET['id']によりアクセス可能なGETデータが含まれます。 $_REQUEST も参照ください。

注意:
変数名のドットやスペースはアンダースコアに変換されます。たとえば <input name="a.b" /> は $_REQUEST["a_b"] となります。

PHPではフォーム変数のコンテキスト内で配列が使用可能です(FAQの関連箇所も参照ください)。例えば、関連する変数をグループ化したり、select inputで複数の値を取得するといったことが可能です。フォームを同じスクリプトに投稿し、投稿したデータを表示する例を示します。

例3 より複雑なフォーム変数

<?php
if ($_POST) {
    echo '<pre>';
    echo htmlspecialchars(print_r($_POST, true));
    echo '</pre>';
}
?>
<form action="" method="post">
    Name:  <input type="text" name="personal[name]" /><br />
    Email: <input type="text" name="personal[email]" /><br />
    Beer: <br />
    <select multiple name="beer[]">
        <option value="warthog">Warthog</option>
        <option value="guinness">Guinness</option>
        <option value="stuttgarter">Stuttgarter Schwabenbrau</option>
    </select><br />
    <input type="submit" value="submit me!" />
</form>

注意: 外部の変数の名前が、正しい配列の文法で始まっていた場合、後に続く文字は黙って無視されます。たとえば、<input name="foo[bar]baz"> は $_REQUEST['foo']['bar'] になります。

IMAGE SUBMIT 変数名

フォームを投稿する際、次のタグのように標準の投稿ボタンの代わりに画像を使用することができます。

<input type="image" src="image.gif" name="sub" />

画像のどこかがクリックされた場合、二つの変数 sub_x および sub_y が付け加えられてこのフォームはサーバーに転送されます。これらの変数は、ユーザーがこの画像をクリックした座標を示しています。経験のある人は、ブラウザにより送られた変数の名前においてアンダースコアがピリオドになってしまっていることを心配するかもしれません。しかし、PHP はピリオドをアンダースコアに自動的に変換します。

HTTP Cookie

PHP は、» RFC 6265 に定義されたHTTP Cookieを完全にサポートします。Cookieは、リモートブラウザにデータを保持し、再訪するユーザーを追跡し、特定する機構です。setcookie() 関数によりCookieをセットすることができます。Cookieは、HTTP ヘッダの一部なので、SetCookie 関数をブラウザに何かを出力する前にコールする必要があります。この制約は、header() 関数のものと同じです。 Cookieのデータは、$_COOKIE のような適当なCookieデータ配列で参照可能です。また、 $_REQUESTでも参照可能です。詳細および例については、 setcookie()のマニュアルページを参照ください。

注意: セキュリティ上の理由により、 PHP 7.2.34, 7.3.23, 7.4.11 以降では、外部から入力される Cookie の名前はurlデコードされなくなりました。

単一のCookieに複数の値を代入したい場合は、配列として代入することが可能です。以下に例を示します。

<?php
  setcookie("MyCookie[foo]", 'Testing 1', time()+3600);
  setcookie("MyCookie[bar]", 'Testing 2', time()+3600);
?>

上記スクリプトにおいては、2つの異なるCookieを生成されますが、この場合、スクリプトでは MyCookie という単一の配列になります。一つのCookieに複数の値を設定したい場合、最初の値に serialize()または explode()を用いることを考えてください。

Cookieは、パスまたはドメインが異ならない限り、以前のクッキーをブラウザ上の同じ名前の変数に置き換えることに注意してください。さて、買い物かご(Shopping Cart) プログラムの場合、カウンタを保持し、受け渡したいと思うかもしれません。これは、次のようになります。

例4 setcookie()の例

<?php
if (isset($_COOKIE['count'])) {
    $count = $_COOKIE['count'] + 1;
} else {
    $count = 1;
}
setcookie('count', $count, time()+3600);
setcookie("Cart[$count]", $item, time()+3600);
?>

外部変数名のドット

通常、PHP はスクリプトに渡された変数の名前を変更しません。しかし、ドット(ピリオド、終止符)はPHPの変数名で有効な文字ではないということに注意する必要があります。次の例を見てみましょう。

<?php
$varname.ext;  /* 無効な変数名 */
?>

ここで、パーサは、$varnameという名前の変数の後に文字列結合演算子があり、その後に、裸の文字列(すなわち、既知のキーまたは予約語にマッチしない引用符無しの文字列) 'ext' が続くとして解釈します。この場合、明らかに意図する結果にはなりません。

重要なことを記述しておくと、このため、外部変数に含まれるドットを PHP は自動的にアンダースコアに変換します。

変数の型の定義

PHPは、変数の型を定義し、必要に応じて変換します。このため、ある変数の型がある時点で常に明らかであるわけではありません。PHPは、変数の型を調べる複数の関数をサポートしています。それらは、 gettype(), is_array(), is_float(), is_int(), is_object(), is_string() です。型の章も参照ください。

HTTP はテキストプロトコルなので、 $_POST および $_GET のようなスーパーグローバル配列に入ってくる内容は、全てとは言えないまでも、ほとんどは文字列のままです。 PHP は決して値を特定の型に変換したりはしません。以下の例では、$_GET["var1"] は "null" という文字列を含みますし、 $_GET["var2"] は、文字列 "123" を含みます。

/index.php?var1=null&var2=123

変更履歴

バージョン	説明
7.2.34, 7.3.23, 7.4.11	セキュリティ上の理由により、外部から入力される Cookie の名前はurlデコードされなくなりました。

Improve This Page

Learn How To Improve This Page • Submit a Pull Request • Report a Bug

＋add a note

User Contributed Notes 2 notes

down

Anonymous ¶

16 years ago

The full list of field-name characters that PHP converts to _ (underscore) is the following (not just dot):
chr(32) ( ) (space)
chr(46) (.) (dot)
chr(91) ([) (open square bracket)
chr(128) - chr(159) (various)

PHP irreversibly modifies field names containing these characters in an attempt to maintain compatibility with the deprecated register_globals feature.

down

krydprz at iit dot edu ¶

19 years ago

This post is with regards to handling forms that have more than one submit button.



Suppose we have an HTML form with a submit button specified like this:



<input type="submit" value="Delete" name="action_button">



Normally the 'value' attribute of the HTML 'input' tag (in this case "Delete") that creates the submit button can be accessed in PHP after post like this:



<?php

$_POST['action_button'];

?>



We of course use the 'name' of the button as an index into the $_POST array.



This works fine, except when we want to pass more information with the click of this particular button.



Imagine a scenario where you're dealing with user management in some administrative interface.  You are presented with a list of user names queried from a database and wish to add a "Delete" and "Modify" button next to each of the names in the list.  Naturally the 'value' of our buttons in the HTML form that we want to display will be "Delete" and "Modify" since that's what we want to appear on the buttons' faceplates.



Both buttons (Modify and Delete) will be named "action_button" since that's what we want to index the $_POST array with.  In other words, the 'name' of the buttons along cannot carry any uniquely identifying information if we want to process them systematically after submit. Since these buttons will exist for every user in the list, we need some further way to distinguish them, so that we know for which user one of the buttons has been pressed.



Using arrays is the way to go.  Assuming that we know the unique numerical identifier of each user, such as their primary key from the database, and we DON'T wish to protect that number from the public, we can make the 'action_button' into an array and use the user's unique numerical identifier as a key in this array.



Our HTML code to display the buttons will become:



<input type="submit" value="Delete" name="action_button[0000000002]">

<input type="submit" value="Modify" name="action_button[0000000002]">



The 0000000002 is of course the unique numerical identifier for this particular user.



Then when we handle this form in PHP we need to do the following to extract both the 'value' of the button ("Delete" or "Modify") and the unique numerical identifier of the user we wish to affect (0000000002 in this case). The following will print either "Modify" or "Delete", as well as the unique number of the user:



<?php

$submitted_array = array_keys($_POST['action_button']);

echo ($_POST['action_button'][$submitted_array[0]] . " " . $submitted_array[0]);

?>



$submitted_array[0] carries the 0000000002.

When we index that into the $_POST['action_button'], like we did above, we will extract the string that was used as 'value' in the HTML code 'input' tag that created this button.



If we wish to protect the unique numerical identifier, we must use some other uniquely identifying attribute of each user. Possibly that attribute should be encrypted when output into the form for greater security.



Enjoy!

＋add a note