7.1. Post, Get e Request

Nesse capítulo você aprenderá como recuperar dados de formulários, seus tipos (POST, GET e REQUEST) e formulários que suportam envio de arquivos.

Recuperando dados de Formulários

Para recuperar dados vindo de um fomulário é preciso saber qual tipo de protocolo foi informado no formulário. Para formulário do tipo post as informações devem ser recebidas pela variável global de PHP do tipo $_POST[] e formulário do tipo get devem ser recebidos pela variável global $_GET[]. Existe um tipo especial que é o $_REQUEST[], que recebe tanto o tipo get quanto o tipo post, porém seu uso deve ser muito restrito (evitado).

Nota: Todas as vezes que sua aplicação receber dados de um formulário ou tiver interação com o usuário esses dados DEVEM ser tratados por meio de algumas funções do PHP.

Recuperando campos de texto via $_POST[].

  1. ..

  2. <h1>Formulário simples 1 (POST)</h1>

    1. <form action="<?= $_SERVER['PHP_SELF'] ?>"

  4. name="frmSimples1" id="frmSimples1" method="post">

  5. <input type="hidden" name="opc" value="1">

    1. <label>Nome:</label>

  7. <input type="text" name="nome" id="nome" maxlength="150" size="50">

    1. <br />

  9. <label>E-mail:</label>

  10. <input type="text" name="email" id="email" maxlength="150" size="50">

    1. <br /><br />

  12. <input type="submit" name="enviar">

  13. </form>

    1. <?php

  15. if (isset($_POST['opc']) == '1') :

  16. echo '<h2>Recuperando campos de texto do tipo post</h2>';

    1. echo 'Nome: ' . $_POST['nome'];

  18. echo '<br />E-mail: ' . $_POST['email'];

  19. endif;

  20. ?>

  21. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formSimples1.php, no browser digite http://localhost/PHPBasico/Cap6/formSimples1.php.

Nota: Todos os campos são recuperados da mesma forma, porém campos do tipo checkbox tem um comportamento um pouco diferente dos outros.

Recuperando campos de texto via $_GET[].

Salve o arquivo anterior como formSimples2.php e altere o method do formulário para o tipo get e substitua $_POST por $_GET. Digite no browser http://localhost/PHPBasico/Cap6/formSimples2.php.

Nota: Uma atenção especial deve ser dada ao se recuperar pelo método get, esse protocolo só aceita 255 caracteres.

Obs: links em modo geral são recuperados também com o $_GET[].

Recuperando campos do tipo checkbox e radiobutton.

  1. ...

  2. <h1>Formulário simples 3</h1>

    1. <form action="<?= $_SERVER['PHP_SELF'] ?>"

  4. name="frmSimples3" id="frmSimples3" method="post">

  5. <input type="hidden" name="opc" value="1">

    1. <label>Qual seu nível de conhecimento em PHP?<br /></label>

  7. <input type="radio" name='conhecimento' value='Não sei PHP'> Não sei PHP <br />

  8. <input type="radio" name='conhecimento' value='PHP Básico'> PHP Básico <br />

  9. <input type="radio" name='conhecimento' value='PHP Intermediário'> PHP Intermediário <br />

  10. <input type="radio" name='conhecimento' value='PHP Avançado'> PHP Avançado <br />

  11. <input type="radio" name='conhecimento' value='Jedi'> Jedi <br />

    1. <br />

  13. <label>Quais versão do PHP já utilizou?<br /></label>

  14. <input type="checkbox" name='versao[]' value='3.x'> 3.x <br />

  15. <input type="checkbox" name='versao[]' value='4.x'> 4.x <br />

  16. <input type="checkbox" name='versao[]' value='5.0'> 5.0 <br />

  17. <input type="checkbox" name='versao[]' value='5.3'> 5.3 <br />

  18. <input type="checkbox" name='versao[]' value='5.5'> 5.5 <br />

    1. <br /><br />

  20. <input type="submit" name="enviar">

  21. </form>

    1. <?php

  23. if (isset($_POST['opc']) == '1') :

  24. echo '<h2>Recuperando campos Checkbox e Radiobutton</h2>';

    1. echo 'Qual seu nível de conhecimento em PHP?<br />';

  26. echo 'R: ' . $_POST['conhecimento'] . '<br /><br />';

    1. echo 'Quais versão do PHP já utilizou?<br />';

  28. echo 'R: ' . $_POST['versao'][0] . '<br />'; //recupera o primeiro item selecionado

  29. var_dump($_POST['versao']); //Recupera todos os itens marcados

  30. endif;

  31. ?>

  32. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formSimples3.php, no browser digite http://localhost/PHPBasico/Cap6/formSimples3.php.

Tratamento de dados recuperados de formulário

É altamente recomendado tratar e validar quais quer dado que venha de um formulário, isso vai garantir um pouco mais de segurança em seu site. Abordarei aqui as principais e mais comuns funções de tratamento e validação. O Exercício a seguir mostrará como aplicar essas validações.

Tratamento de formulário com trim(), addslashes(), htmlspecialchars() e htmlentities()

  1. ...

  2. <h1>Tratando form 1</h1>

    1. <form action="<?= $_SERVER['PHP_SELF'] ?>"

  4. name="frmTrata1" id="frmTrata1" method="post">

  5. <input type="hidden" name="opc" value="1">

    1. <label>Nome:</label>

  7. <input type="text" name="nome" id="nome" maxlength="150" size="50">

    1. <br />

  9. <label>E-mail:</label>

  10. <input type="text" name="email" id="email" maxlength="150" size="50">

    1. <br /><br />

  12. <input type="submit" name="enviar">

  13. </form>

    1. <?php

  15. if (isset($_POST['opc']) == '1') :

  16. echo '<h2>Recuperando e tratando campos de texto do tipo post</h2>';

  17. echo 'Nome: ' . addslashes($_POST['nome']);

  18. echo '<br /><br />Nome: ' . htmlspecialchars(trim($_POST['nome']), ENT_COMPAT); //padrão

  19. echo '<br />E-mail: ' . htmlspecialchars(trim($_POST['email']), ENT_QUOTES);

  20. echo '<br /><br />Nome: ' . htmlentities(trim($_POST['nome']));

  21. echo '<br />E-mail: ' . htmlentities(trim($_POST['email']));

  22. echo '<br /><br />Nome: ' . htmlspecialchars(addslashes(trim($_POST['nome'])));

  23. echo '<br />E-mail: ' . htmlentities(addslashes(trim($_POST['email'])));

  24. endif;

  25. ?>

  26. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/tratandoForm1.php, no browser digite http://localhost/PHPBasico/Cap6/tratandoForm1.php.

Tratamento de formulário com nl2br()

  1. ...

  2. <h1>Tratando form 2</h1>

    1. <form action="<?= $_SERVER['PHP_SELF'] ?>"

  4. name="frmTrata2" id="frmTrata2" method="post">

    1. <label>Nome:</label>

  6. <input type="text" name="nome" id="nome" maxlength="150" size="50">

    1. <br />

  8. <label>E-mail:</label>

  9. <input type="text" name="email" id="email" maxlength="150" size="50">

    1. <br />

  11. <label>Comentário:</label>

  12. <textarea name="comentario" id="comentario" cols="63" rows="10"></textarea>

    1. <br /><br />

  14. <input type="submit" name="enviar">

  15. </form>

    1. <?php

  17. if ($_POST) :

  18. echo '<br /><br />Nome: ' . htmlspecialchars(addslashes(trim($_POST['nome'])));

  19. echo '<br />E-mail: ' . htmlentities(addslashes(trim($_POST['email'])));

  20. echo '<br /><br />Nome: ' . addslashes(nl2br(trim($_POST['comentario'])));

  21. endif;

  22. ?>

  23. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/tratandoForm2.php, no browser digite http://localhost/PHPBasico/Cap6/tratandoForm2.php.

Envio (upload) de arquivo

O upload de arquivos é muito comum em um site. Mas para que ele funcione seu formulário precisa informar ao HTML que ele será ser usado com a finalidade de upload, para isso basta utilizar o atributo enctype="multipart/form-data" na tag form.

Envio de dados com PHP e validação

  1. ...

  2. <h1>Upload de arquivo e validação</h1>

    1. <form action="<?= $_SERVER['PHP_SELF'] ?>"

  4. name="frmUpload" id="frmUpload" method="post" enctype="multipart/form-data">

    1. <label>Selecione uma magem:<br /></label>

  6. <input type="file" name="img" id="img" accept="image/*">

    1. <br /><br />

  8. <label>Selecione um Documento:<br /></label>

  9. <input type="file" name="doc" id="doc">

    1. <br /><br />

  11. <input type="submit" name="enviar">

  12. </form>

    1. <?php
    1. if ($_POST) :

  15. var_dump($_FILES['img']);

  16. var_dump($_FILES['doc']);

    1. function validaNomeCampo($nomeCampo = null)

  18. {

  19. if ($nomeCampo) {

  20. return true;

  21. } else {

  22. echo '<strong>Erro: O nome do campo deve ser informado!</strong>';

  23. exit;

  24. }

    1. }
    1. function verificaCampoVazio($nomeCampo = nul, array $campo = null)

  27. {

  28. if ($_FILES[$nomeCampo]['size'] !== 0) {

  29. return true;

  30. } else {

  31. echo '<strong> - Nenhum arquivo <em>'. $nomeCampo .'</em> para ser enviado!<br /></strong>';

  32. }

    1. }
    1. function validaCampo(array $campo = null)

  35. {

  36. if (is_array($campo)) {

  37. return true;

  38. } else {

  39. echo '<strong>Erro: O Campo deve ser um array!</strong>';

  40. exit;

  41. }

    1. if ($campo) {

  43. return true;

  44. } else {

  45. echo '<strong>Erro: O Campo deve ser informado!</strong>';

  46. exit;

  47. }

  48. }

    1. function upload($nomeCampo = null, array $campo = null)

  50. {

  51. $dir = __DIR__ . '/upload/';

    1. if (validaNomeCampo($nomeCampo)) {

  53. if (validaCampo($campo)) {

  54. $arquivo = $uploadfile = $dir . basename($_FILES[$nomeCampo]['name']);

    1. if (move_uploaded_file($_FILES[$nomeCampo]['tmp_name'], $uploadfile)) {

  56. echo "Arquivo válido e enviado com sucesso.<br />\n";

  57. } else {

  58. echo "Não foi possível gravar oarquivo<br />\n";

  59. }

  60. }

  61. }

  62. }

    1. if (verificaCampoVazio('img', $_FILES['img'])) {

  64. //verificando se upload é uma imagem

  65. if (!empty($_FILES['img']) && ($_FILES['img']['type'] == 'image/jpeg' ||

  66. $_FILES['img']['type'] == 'image/jpg' ||

  67. $_FILES['img']['type'] == 'image/png' ||

  68. $_FILES['img']['type'] == 'image/gif')) :

  69. echo 'Grava a imagem no servidor ou banco. Para isso é necessário

  70. utilizar $_FILES["img"]["tmp_name"] e ter permissão de escrita no

  71. servidor.<br /><br />';

    1. upload('img', $_FILES['img']);
    1. else :

  74. echo 'Erro: Arquivo enviado não é uma imagem.<br /><br />';

  75. endif;

  76. }

    1. if (verificaCampoVazio('doc', $_FILES['doc'])) {

  78. //verificando se upload é um documento ou planílha ODF ou PDF

  79. if ($_FILES['doc']['type'] == 'application/vnd.oasis.opendocument.spreadsheet' ||

  80. $_FILES['doc']['type'] == 'application/vnd.oasis.opendocument.text' ||

  81. $_FILES['doc']['type'] == 'application/pdf') :

  82. echo 'Grava a imagem no servidor ou banco. Para isso é necessário

  83. utilizar $_FILES["doc"]["tmp_name"] e ter permissão de escrita no

  84. servidor.<br /><br />';

    1. upload('doc', $_FILES['doc']);
    1. else :

  87. echo 'Erro: Arquivo enviado não documento ou planílha ODF ou PDF.<br /><br />';

  88. endif;

  89. }

    1. endif;

  91. ?>

  92. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formUpload.php, no browser digite http://localhost/PHPBasico/Cap6/formUpload.php.

Evitando o CSRF (Cross Site Request Forgery)

Como já foi falado várias vezes durante o curso, segurança é um ponto que devemos sempre estar atento. Nesse tópico abordaremos mais ponto de segurança, o CSRF, popularmente conhecido como token de formulário. Para facilitar o entendimento e testes, faremos os exercícios em várias etapas e dividiremos em 2 arquivos.

  1. ...

  2. <h1>Evitando o CSRF (Cross Site Request Forgery)</h1>

    1. <form action="recebeDados.php"

  4. name="frmCSRF" id="frmCSRF" method="post">

    1. <label>Nome:</label>

  6. <input type="text" name="nome" id="nome" maxlength="150" size="50">

    1. <br />

  8. <label>E-mail:</label>

  9. <input type="email" name="email" id="email" maxlength="150" size="50">

    1. <br />

  11. <label>Comentário:</label>

  12. <textarea name="comentario" id="comentario" cols="63" rows="10"></textarea>

    1. <br /><br />

  14. <input type="submit" name="enviar">

  15. </form>

  16. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php, no browser digite http://localhost/PHPBasico/Cap6/formEvitandoCSRF.php.

Continuando a edição do arquivo criado anteriormente. Nesse momento faremos as principais validações e recuperação dos dados enviados pelo formulário no PHP. Abra o arquivo home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php e edite logo abaixo da tag <body>.

  1. ...

  2. <body>

  3. <?php

  4. //inicializando variáveis do form

  5. $nome = $email = $comentario = null;

  6. $erros = [];

    1. function exibeErros($campo = null, array $erros = null)

  8. {

  9. if (isset($erros[$campo])) {

  10. echo $erros[$campo];

  11. unset($erros[$campo]);

  12. }

  13. }

  14. //verifica se houve subimit

  15. if ($_POST) {

  16. extract($_POST);

    1. if (trim($nome) == "") {

  18. $erros['nome'] = '<br /><div><strong>Erro:</strong> O Campo <strong>nome</strong> deve ser preenchido.</div>';

  19. }

    1. if (trim($email) == "") {

  21. $erros['email'] = '<br /><div><strong>Erro:</strong> O Campo <strong>e-mail</strong> deve ser preenchido.</div>';

  22. }

    1. if (trim($comentario) == "") {

  24. $erros['comentario'] = '<br /><div><strong>Erro:</strong> O Campo <strong>comentário</strong> deve ser preenchido.</div>';

  25. }

    1. //Se não houver erro exibe os dados na tela

  27. if (empty($erros)) {

  28. echo 'Nome: ' . addslashes(trim($nome)) . '<br />';

  29. echo 'E-mail: ' . addslashes(trim($email)) . '<br />';

  30. echo 'Comentário:<br /><br />' . addslashes(trim(nl2br($comentario))) . '<br />';

  31. }

  32. }

  33. ?>

  34. <h1>Evitando o CSRF (Cross Site Request Forgery)</h1>

  35. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php, no browser digite http://localhost/PHPBasico/Cap6/formEvitandoCSRF.php.

Vamos agora testar nosso formulário e veremos como ainda está vulnerável a ataques. Abra o terminal (CTRL+T) e digite o seguinte comando: curl -d 'nome=qualquer nome&email=qualquer email&comentario=qualquer comentário' http://localhost/CursoPHP/PHPBasico/Cap6/formEvitandoCSRF.php e veja que os valores digitados foram enviados e exibidos na tela. Isso indica o quão vulnerável ainda está seu formulário.

Dando continuidade ao exercício proposto criaremos um arquivo para fazer as funções de validações contra o CSRF.

  1. <?php

    1. function geraToken()

  3. {

  4. return $_SESSION['token'] = base64_encode(openssl_random_pseudo_bytes(32));

  5. }

    1. function verificaToken($token)

  7. {

  8. if (isset($_SESSION['token']) && $token === $_SESSION['token']) {

  9. unset($_SESSION['token']);

  10. return true;

  11. }

    1. return false;

  13. }

  14. //essa linha vazia tem que existir.

Salve em /home/seu_usuario/www/PHPBasico/Cap6/protecaoContraCSRF.php.

Continuando a edição do arquivo ormEvitandoCSRF.php. Nesse momento faremos a validação necessária para que a proteção contra o CSRF funcione. Abra o arquivo home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php e edite o arquivo logo na primeira linha.

  1. <?php

  2. session_start();

  3. require_once 'protecaoContraCSRF.php';

  4. ?>

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php.

Continue editando o arquivo formEvitandoCSRF.php. Posicione o cursor depois do comentário 'if ($_POST) {', e envolva todo o código PHP com a validação contra o CSRF, como no exercício abaixo.

  1. ...

  2. //verifica se houve subimit

  3. if ($_POST) {

  4. if (verificaToken(isset($_POST['token']))) {

  5. extract($_POST);

    1. if (trim($nome) == "") {

  7. ...

  8. }// fim do if (verificaToken())

  9. ...

  10. }// fim do if ($_POST)

  11. ?>

  12. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php.

Agora para finalizar, crie um campo do tipo hidden com o nome token. Esse campo pode ser o primeiro campo do formulário.

  1. ...

  2. <h1>Evitando o CSRF (Cross Site Request Forgery)</h1>

    1. <form action="" name="frmCSRF" id="frmCSRF" method="post">

  4. <input type="hidden" name="token" value="<?= geraToken() ?>" />

    1. <label>Nome:</label>

  6. ...

Salve em /home/seu_usuario/www/PHPBasico/Cap6/formEvitandoCSRF.php, no browser digite http://localhost/PHPBasico/Cap6/formEvitandoCSRF.php.

Vamos agora testar nosso formulário novamente. Abra o terminal (CTRL+T) e digite o seguinte comando: curl -d 'nome=qualquer nome&email=qualquer email&comentario=qualquer comentário' http://localhost/CursoPHP/PHPBasico/Cap6/formEvitandoCSRF.php e veja que os valores digitados não são exibidos na tela. Isso indica que se alguém tentar enviar dados sem ser pelo site não conseguirá.

Resumo do Capítulo

Nesse capítulo aprendemos como recuperar dados passados através de formulários pelos métodos POST e GET, como recuperar dados de campos checkbox, tratamento e validações dos dados recebidos, upload de arquivos e como tonar seus formulários mais seguros contra o CSRF.

Exercícios

  1. Crie um formulário de cadastro básico de cliente contendo os campos: Nome, Sobrenome, data de nascimento, senha e-mail e cpf;

  2. Faça as validações necessárias para aplicar a segurança e evitar o CSRF;

  3. Se as validações tiverem certas, exibir os dados na tela para o usuário.

results matching ""

    No results matching ""