استقبال الطلبات: GET و POST

١من أين تأتي بيانات الطلب؟

الصفحة تصير مفيدة حين تتفاعل مع المستخدم: يكتب كلمة بحث، أو يملأ نموذج تسجيل. هذه البيانات تصل الخادم داخل الطلب، ويضعها PHP لك جاهزة في مصفوفات ترابطية خاصة اسمها المتغيرات العامة الفائقة Superglobals:

أرسلنا للملف نفسه طلبين. لاحظ كيف تغيّرت $_GET:

<?phpecho "<p>المصفوفة \$_GET:</p><pre>";print_r($_GET);echo "</pre>";echo "<p>اسم المنتج: " . ($_GET['product'] ?? 'لم يُرسل') . "</p>";

كل قيمة في $_GET و $_POST نص، حتى qty=2 وصلت "2". وإن احتجت عددًا فحوّله: $qty = (int) ($_GET['qty'] ?? 1);

٢نموذج بحث بـ GET

النموذج <form> من مقرر 131 يكتمل الآن: السمة action تحدد إلى أي ملف يُرسل، و method تحدد الطريقة. وكل حقل يُرسل باسمه في السمة name؛ فالحقل بلا name لا يُرسل أبدًا.

<!DOCTYPE html><html lang="ar" dir="rtl"><body>  <h2>ابحث في المتجر</h2>  <form action="search.php" method="get">    <input name="q" placeholder="اسم المنتج">    <select name="sort">      <option value="price">الأرخص أولًا</option>      <option value="name">حسب الاسم</option>    </select>    <button>بحث</button>  </form></body></html>

<?php$q = $_GET['q'] ?? '';$sort = $_GET['sort'] ?? 'price'; echo "<p>تبحث عن: <b>$q</b></p>";echo "<p>الترتيب: $sort</p>";echo '<a href="form.html">بحث جديد</a>';

مع GET يبني المتصفح الرابط بنفسه من الحقول: search.php?q=قهوة&sort=price. لذلك تستطيع حفظ نتيجة البحث في المفضلة أو مشاركتها. جرّبه بيدك في المختبر: املأ النموذج واضغط «بحث»، ثم راقب شريط العنوان:

٣نموذج تسجيل بـ POST

حين يرسل المستخدم بيانات تُحفظ أو تغيّر شيئًا (تسجيل، دخول، طلب شراء) نستخدم method="post". البيانات تذهب في جسم الطلب لا في الرابط، ونقرؤها من $_POST:

<?php$name = $_POST['name'] ?? '';$course = $_POST['course'] ?? ''; echo "<h2>تم استلام طلب التسجيل</h2>";echo "<p>الاسم: $name</p>";echo "<p>الدورة: $course</p>";

٤الحقل الذي لم يُرسل

لا تفترض أبدًا أن الحقل وصل: قد يفتح المستخدم الصفحة مباشرة، أو يرسل طلبًا ناقصًا عمدًا. قراءة مفتاح غير موجود تعطي تحذيرًا:

<?php$name = $_GET['name'];echo "مرحبًا يا $name";

<?php$name = $_GET['name'] ?? 'زائر';echo "مرحبًا يا $name";

الطلب في المثالين بلا أي بيانات: GET /hello.php

ولك طريقتان: ?? لقيمة بديلة، أو isset() لتسأل «هل وصل؟» وتتصرف:

<?phpif (isset($_GET['id'])) {    $id = (int) $_GET['id'];    echo "تفاصيل المنتج رقم $id";} else {    echo "اختر منتجًا من القائمة";}

٥ملف واحد للعرض والمعالجة

نمط شائع جدًّا: الملف نفسه يعرض النموذج إن جاءه طلب GET، ويعالج البيانات إن جاءه POST. نعرف الطريقة من $_SERVER['REQUEST_METHOD']:

<?phpif ($_SERVER['REQUEST_METHOD'] === 'POST') {    $msg = $_POST['message'] ?? '';    echo "<p>✓ وصلتنا رسالتك (" . mb_strlen($msg) . " حرفًا). شكرًا لك!</p>";} else {?>    <form method="post">      <textarea name="message">السلام عليكم</textarea>      <button>أرسل</button>    </form><?php}

٦لا تطبع ما يرسله المستخدم كما هو

ماذا لو كتب المستخدم في حقل الاسم كود HTML أو JavaScript بدل اسمه؟ إن طبعناه كما هو، سيُنفَّذ في صفحتنا! هذا هجوم مشهور اسمه XSS (حقن السكربت). شاهد الفرق:

<?php$name = $_GET['name'] ?? '';echo "<p>مرحبًا يا $name</p>";

<?php$name = $_GET['name'] ?? '';echo "<p>مرحبًا يا " . htmlspecialchars($name) . "</p>";

الطلب في الحالتين: ?name=<b style="color:red…">مخترق</b>. في الخطأ صار نص المستخدم وسمًا حقيقيًّا. وفي الصواب حوّلت htmlspecialchars العلامة < إلى &lt; فظهرت نصًّا عاديًّا.