PHP通过$_GET和$_POST接收表单数据，需确保method与超全局变量匹配，name属性正确，文件上传需enctype及$_FILES处理，并严格验证、清理数据以防XSS、SQL注入等安全风险。
PHP处理表单数据，核心机制其实很简单，就是通过它提供的几个全局数组（也就是所谓的“超全局变量”）来捕获用户从HTML表单提交过来的信息。具体来说，主要依赖
$_GET和
$_POST这两个家伙，它们会根据表单的提交方式，把对应的数据组织成键值对的形式，供你在服务器端脚本里使用。
解决方案
PHP接收HTML表单数据，最直接的方法就是利用
$_GET和
$_POST。当你HTML表单的
method属性设置为
GET时，所有表单字段的数据都会被附加到URL的查询字符串中，PHP通过
$_GET数组来访问这些数据。而当
method设置为
POST时，数据则会作为HTTP请求体的一部分发送，PHP则通过
$_POST数组来获取。
例如，一个简单的HTML表单可能长这样：
立即学习“PHP免费学习笔记（深入）”；
<form action="process.php" method="post">
<label for="username">用户名:</label>
<input type="text" id="username" name="username"><br><br>
<label for="email">邮箱:</label>
<input type="email" id="email" name="user_email"><br><br>
<input type="submit" value="提交">
</form>在
process.php中，你可以这样获取数据：
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$username = $_POST['username'];
$email = $_POST['user_email'];
echo "收到的用户名: " . htmlspecialchars($username) . "<br>";
echo "收到的邮箱: " . htmlspecialchars($email) . "<br>";
// 这里通常会进行数据验证、清理，然后存入数据库或进行其他业务逻辑
}
?>需要注意的是，
$_GET和
$_POST中的键名，就是HTML表单中
input、
select、
textarea等元素的
name属性值。如果你的表单使用了
GET方法，那么在
process.php中就应该用
$_GET['username']来获取。
除了这两个，还有一个
$_REQUEST超全局变量，它包含了
$_GET、
$_POST和
$_COOKIE的数据。虽然用起来方便，但我个人倾向于明确使用
$_GET或
$_POST，这样代码意图更清晰，也能避免一些潜在的混淆，尤其是在处理同名参数时。
为什么我的表单数据PHP收不到？常见错误与排查
这几乎是每个初学者都会遇到的问题，有时候老手也可能犯迷糊。表单数据收不到，往往不是PHP出了什么“玄学”问题，而是一些基础配置或代码逻辑上的疏忽。
最常见的原因，是HTML表单的
name属性缺失或写错。PHP通过这个
name属性来识别数据，如果你的
<input type="text" id="username">没有
name="username"，那么PHP就不知道如何把这个字段的值对应起来。所以，检查一下HTML里每个需要提交的表单元素，是不是都有一个唯一的、有意义的
name属性。
另一个常犯的错误是表单的
method属性与PHP接收方式不匹配。比如HTML表单写的是
method="get"，而你在PHP里却尝试用
$_POST['field_name']去取值，那肯定扑个空。反之亦然。所以，务必确认
form标签的
method属性（
GET或
POST）与PHP脚本中使用的超全局变量（
$_GET或
$_POST）保持一致。
还有一种情况，表单根本就没被提交。这可能是因为提交按钮（
<input type="submit">或
<button type="submit">）缺失，或者用户根本就没点击。有时候，JavaScript可能会阻止默认的表单提交行为，或者在提交前进行了一些异步操作，导致传统意义上的表单提交并未发生。检查一下浏览器的网络请求，看看是不是真的发出了一个带有表单数据的请求。
对于文件上传，更是有它独特的“脾气”。如果你想上传文件，表单必须设置
enctype="multipart/form-data"，并且PHP接收文件需要使用
$_FILES超全局变量，而不是
$_POST。如果忘记设置
enctype，文件数据是不会被正确发送的。
最后，服务器环境配置也可能捣乱。例如，PHP的
post_max_size或
upload_max_filesize配置过小，会导致大文件或大量POST数据被截断甚至直接丢弃。检查PHP的
php.ini文件，确保这些限制足够大。
处理不同类型的表单输入：文本、选择、文件上传
表单里的输入类型五花八门，PHP处理它们的方式也略有不同。理解这些差异，能让你更游刃有余。
对于文本输入，包括单行文本框（
<input type="text">）、密码框（
<input type="password">）、隐藏域（
<input type="hidden">）以及多行文本域（
<textarea>），处理起来最简单，它们的值会直接作为字符串存储在
$_GET或
$_POST数组中。
// HTML: <input type="text" name="message"> $message = $_POST['message'];
选择框就有点意思了。
-
单选按钮（Radio Buttons）：一组单选按钮通常共享相同的
name
属性，但value
属性不同。PHP只会接收到被选中那个按钮的value
。// HTML: <input type="radio" name="gender" value="male"> 男 // <input type="radio" name="gender" value="female"> 女 $gender = $_POST['gender']; // 可能是 'male' 或 'female'
-
复选框（Checkboxes）：如果希望用户能选择多个选项，并且PHP能接收到一个数组，那么复选框的
name
属性需要加上[]
，比如name="interests[]"
。// HTML: <input type="checkbox" name="interests[]" value="reading"> 阅读 // <input type="checkbox" name="interests[]" value="travel"> 旅行 $interests = $_POST['interests']; // 如果选中了阅读和旅行，会是 ['reading', 'travel'] if (!empty($interests) && is_array($interests)) { foreach ($interests as $interest) { echo htmlspecialchars($interest) . "<br>"; } } -
下拉列表（Select Boxes）：单选的下拉列表和单选按钮类似，直接获取
name
对应的值。如果是多选下拉列表（<select multiple>
），也需要像复选框一样，在name
属性后加[]
。// HTML: <select name="colors[]" multiple>...</select> $selectedColors = $_POST['colors']; // 同样是一个数组
最复杂的大概就是文件上传了。这需要HTML表单设置
enctype="multipart/form-data"，并且PHP会把上传的文件信息存储在
$_FILES超全局变量中。
$_FILES是一个二维数组，每个上传文件都包含
name（原始文件名）、
type（MIME类型）、
tmp_name（服务器上的临时文件路径）、
error（错误码）和
size（文件大小）等信息。
// HTML: <form action="upload.php" method="post" enctype="multipart/form-data">
// <input type="file" name="user_file">
// </form>
if (isset($_FILES['user_file']) && $_FILES['user_file']['error'] == UPLOAD_ERR_OK) {
$targetDir = "uploads/";
$fileName = basename($_FILES['user_file']['name']);
$targetFilePath = $targetDir . $fileName;
// 移动临时文件到目标位置
if (move_uploaded_file($_FILES['user_file']['tmp_name'], $targetFilePath)) {
echo "文件 " . htmlspecialchars($fileName) . " 上传成功。";
} else {
echo "文件上传失败。";
}
} else {
echo "没有文件上传或发生错误。错误码: " . $_FILES['user_file']['error'];
}文件上传涉及安全、存储空间、文件类型限制等诸多问题，需要格外小心处理。
表单数据安全：验证、清理与防范常见攻击
仅仅能接收数据是远远不够的，确保这些数据的安全和有效性才是重中之重。一个未经处理的表单数据，就像一个敞开的后门，随时可能被恶意利用。
数据验证（Validation）是第一道防线。它确保接收到的数据符合你的预期格式和业务规则。比如，一个邮箱字段必须是有效的邮箱格式，年龄字段必须是数字且在合理范围内，密码长度要达到要求等等。 验证应该始终在服务器端进行，因为客户端验证（比如JavaScript）很容易被绕过。PHP提供了
filter_var()函数，可以用来验证邮箱、URL、IP地址等常见数据类型。对于更复杂的规则，可以使用正则表达式
preg_match()。
$email = $_POST['user_email'];
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
echo "邮箱格式不正确！";
// 终止脚本或返回错误信息
}
$age = $_POST['age'];
if (!is_numeric($age) || $age < 0 || $age > 120) {
echo "年龄不合法！";
}数据清理（Sanitization）是第二道防线，它移除或转义数据中潜在的恶意内容。最常见的场景就是防止跨站脚本攻击（XSS）。用户提交的文本中可能包含
script标签或其他HTML代码，如果直接显示在页面上，就可能执行恶意脚本。 使用
htmlspecialchars()函数是处理HTML输出时最基本的清理手段，它将特殊字符（如
<、
>、
&、
"）转换为HTML实体，从而避免浏览器将其解析为实际的HTML标签。 如果你允许用户提交部分HTML（比如富文本编辑器），那么
strip_tags()可以用来剥离所有HTML和PHP标签，或者指定允许哪些标签。但更安全的做法是使用专门的HTML净化库，如HTML Purifier。
$comment = $_POST['comment']; // 防止XSS攻击，在输出到HTML页面前进行转义 $safeComment = htmlspecialchars($comment, ENT_QUOTES, 'UTF-8'); echo $safeComment;
防范常见攻击：
-
SQL注入：这是最危险的攻击之一。攻击者通过在输入框中注入SQL代码来操纵你的数据库。绝对不要直接将用户输入拼接到SQL查询字符串中。请务必使用预处理语句（Prepared Statements），无论是PDO还是MySQLi扩展都支持。
// 使用PDO的预处理语句示例 $stmt = $pdo->prepare("INSERT INTO users (username, email) VALUES (?, ?)"); $stmt->execute([$username, $email]); - CSRF（跨站请求伪造）：攻击者诱导用户点击恶意链接，利用用户已登录的身份执行非授权操作。防范CSRF通常通过在表单中加入一个CSRF令牌（Token）来实现。这个令牌是一个随机生成的字符串，存储在用户的会话中，并在表单提交时进行验证。
- 文件上传漏洞：上传文件时，必须严格检查文件类型（MIME类型和文件扩展名），限制文件大小，并确保将文件存储在非Web可访问的目录中，或者重命名文件以防止执行恶意脚本。绝不能信任用户上传的文件名。
这些安全措施并非一次性的任务，而是需要贯穿整个开发周期。只有这样，你的应用才能在接收和处理用户数据时，真正做到安全可靠。
