PHP通过$_POST接收表单数据，使用file_get_contents('php://input')处理JSON请求，需验证过滤数据以防XSS和SQL注入，并用$_FILES处理文件上传，确保应用安全。
PHP接收和处理POST请求数据是Web开发中的常见任务，尤其在表单提交、API接口等场景中广泛使用。正确获取并安全处理这些数据，不仅能保证程序正常运行，还能有效防范安全风险。
接收POST数据的方法
PHP通过超全局数组$_POST来获取客户端通过POST方式提交的数据。只要请求方法为POST，且数据格式正确（如application/x-www-form-urlencoded），就可以直接访问。
例如，前端HTML表单如下：
zuojiankuohaophpcnform method="post" action="handle.php">
<input type="text" name="username">
<input type="email" name="email">
<button type="submit">提交</button>
</form>
在 handle.php 中可这样接收：
立即学习“PHP免费学习笔记（深入）”；
$username = $_POST['username'] ?? '';
$email = $_POST['email'] ?? '';
使用??操作符可避免未定义索引的警告，是一种推荐写法。
处理原始POST数据（如JSON）
当客户端发送的是JSON数据（如Ajax或移动端请求），$_POST可能为空，因为PHP默认不解析JSON格式。此时需要读取输入流：
$rawInput = file_get_contents('php://input');
$data = json_decode($rawInput, true);
如果$data为数组，则可进一步使用：
$username = $data['username'] ?? '';
$email = $data['email'] ?? '';
注意判断json_last_error()确保解析成功。
数据验证与安全处理
接收到的数据不可直接使用，必须经过验证和过滤，防止SQL注入、XSS攻击等问题。
常用处理方式包括：
- 过滤字符串：使用filter_var()或htmlspecialchars()处理输出内容
- 验证邮箱：filter_var($email, FILTER_VALIDATE_EMAIL)
- 防止XSS：输出到页面前用htmlspecialchars($value)转义
- 防止SQL注入：优先使用预处理语句（PDO或MySQLi）
示例：
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
die('邮箱格式不正确');
}
文件上传的POST数据处理
当表单包含文件上传时，需使用$_FILES数组处理。确保表单设置enctype="multipart/form-data"。
检查上传是否成功，并移动文件：
if (isset($_FILES['avatar']) && $_FILES['avatar']['error'] === UPLOAD_ERR_OK) {
$tmpName = $_FILES['avatar']['tmp_name'];
$uploadPath = 'uploads/' . basename($_FILES['avatar']['name']);
move_uploaded_file($tmpName, $uploadPath);
}
同时应验证文件类型、大小，避免恶意文件上传。
基本上就这些。掌握如何正确接收、解析和保护POST数据，是构建安全PHP应用的基础。不复杂但容易忽略。
