Při zpracování dat z formulářů musíme být opatrní - a data ověřovat. Uživatelé se totiž dříve nebo později pokusí podstrčit nám neplatná data.
16.7.2004 15:00 | Petr Zajíc | přečteno 140889×
Je hezké, že umíme zpracovávat data pomocí formulářů - ale je tu ten
lidský prvek. Data z formulářů nepocházejí od počítačů, ale od lidí.
Protože v reálné aplikaci na tom většinou záleží, bude potřeba data
ověřovat. E-mailové adresy, telefonní čísla, webové adresy a spousta
dalších věcí se dají alespoň primitivně ověřit. Navíc, někdy může
formulář být terčem útoku - a nedostatečné ověření může způsobit "díru"
do naší aplikace.
Protože data z formuláře jsou k dispozici jakožto proměnné ve skriptu, může nejjednodušší ověřování spočívat v kontrole těchto proměnných. Takže, primitivní skript který ověří e-mailovou adresu:
<?
function JeEmail ($cislo)
{
return ereg("^.+@.+\..+$",$cislo);
}
if (empty ($_POST))
{
?>
<form method="post" action="26_simple.php">
E-mail: <input name="email">
<input type="Submit" name="odesli">
</form>
<?
}
else
{
if (!JeEmail($_POST["email"])) echo "Tohle nevypadá
jako e-mail";
else echo "Zpracovávám
". $_POST["email"];
}
?>
Toto ověřování však má zásadní problém. Uživatele jsme sice
prokouknuli, ale místo všeho jiného jsme mu jen poslali varovnou
hlášku. Chtělo by to něco jiného - při chybě zobrazit opět původní
formulář. Což nám celý skript trošku zamotá, protože budeme muset
testovat jednak to, zda již byl formulář odeslán, a jednak to, zda byl
odeslán se správnými daty. Nová verze by mohla vypadat nějak takto:
<?
function JeEmail ($cislo)
{
return ereg("^.+@.+\..+$",$cislo);
}
$BudemeZobrazovat=true;
if (!empty($_POST)) // tak už se
odesílalo a musíme kontolovat
{
if (!JeEmail($_POST["email"]))
{
//
kontrolou jsme neprošli
echo "Tohle nevypadá jako e-mail!";
}
else
{
//
kontolou jsme prošli
$BudemeZobrazovat=false;
echo "Zpracovávám
". $_POST["email"];
}
}
if ($BudemeZobrazovat):?>
<form method="post" action="source.php">
E-mail: <input name="email">
<input type="Submit"
name="odesli">
</form>
<?endif;?>
Skript je poměrně dost překopaný a zalouží si rozsáhlý komentář. K
celému problému přistupujeme pesimisticky: předpokládáme, že ve většině
případů budeme muset formulář zobrazit. Takže si na to vytvoříme
logickou proměnnou $BudemeZobrazovat. Tato proměnná je ze začátku
nastavena na TRUE, tedy že formulář zobrazovat budeme.
Následuje podmínka testující, zda jsme již formulář odeslali. To je
postup, který jsme detailně rozebrali v minulém díle seriálu. Pokud
jsme ho neodesílali, tělo podmínky se neprovede a formulář se nám
zobrazí. Jestliže jsme formulář ale již odeslali, dostáváme se dovnitř,
do těla podmínky, kde máme vnořenou podmínku. ("dobře, něco jsme
odeslali, ale je to správně"). Pokud, a pouze pokud projdeme kontrolou,
nastavíme proměnnou $ZobrazitFormular na FALSE a můžeme formulář
zpracovat.
Jestliže ale testem správnosti formulář neprojde, zobrazíme varovnou
hlášku ("tohle nevypadá jako e-mail") a opustíme obě podmínky. Proměnná
$BudemeZobrazovat zůstala nasatavena na TRUE, takže se nám po varovné
hlášce formulář zobrazí, což je přesně to, co jsme chtěli.
Na celém přístupu je príma hlavně to, že samotná definice formuláře
je až na konci skriptu a neplete se nám do jeho zpracování. Ono to na
první pohled nevypadá, ale některé formuláře mají více vstupních prvků
a musí se provést více kontrol, takže se kód protáhne.
Nakolik se Vám možná chce jásat, má náš skript jednu dosti podstatnou vadu. Když se mají údaje opravovat, chybí tam předvyplněné ty původní. Za to Vás budou chtít uživatelé lynčovat, protože kdyby formulář obsahoval deset polí a chyba by byla jen v jednom, je jasné, že by museli vyplnit všech dest polí znova (brr). Jednoduchou úpravou skriptu ale dosáhneme toho, že když jej vyplňujeme již poněkolikáté, tak tam předchozí hodnoty zůstanou:
//
začátek je stejný...if ($BudemeZobrazovat):?>
<form method="post" action="26_complex.php">
E-mail: <input name="email" value="<?echo $_POST["email"]?>">
<input type="Submit"
name="odesli">
</form>
<?endif;?>
Ukázat skript | Spustit skript
Skutečně to je takto jednoduché - když se má formulář zpracovávat po
několikáté, tak jsou již prvky pole $_POST k dispozici a můžete tedy
použít jejich hodnoty jako výchozí hodnoty prvků formuláře.