PHP 表单提交前服务端验证与提交拦截完整教程

本文详解如何在 php 中正确实现表单服务端验证，并确保仅当所有字段合法时才执行数据库写入，彻底防止无效数据提交——关键在于将验证逻辑与数据处理逻辑解耦，并通过条件控制阻断后续流程。

在 Web 表单开发中，仅靠前端 JavaScript 验证（如 onsubmit 返回 false）无法保障安全性，因为用户可轻易禁用或绕过脚本。真正的防线必须落在服务端：php 必须在接收到 POST 请求后，先完成全部验证，仅当 $valid === true 时才执行数据库插入操作。你当前代码的核心问题在于：虽然设置了 $valid = false，但后续仍无条件执行了数据库写入（代码中虽未显式写出 INSERT，但从上下文可知其存在于验证逻辑之后），导致错误提示与数据入库并行发生。

✅ 正确的验证-提交分离结构

以下是一个精简、安全、可直接运行的示例，采用「验证先行、成功才处理」模式：

if ($_SERVER["REQUEST_METHOD"] === "POST") {     // 辅助函数：清洗并转义输入     function sanitize($data) {         return htmlspecialchars(trim(stripslashes($data)));     }      // 1. 姓名验证（非空 + 字母/空格 + 长度 2–30）     $name = sanitize($_POST["staffname"] ?? "");     if (empty($name)) {         $errors["staffname"] = "Staff Name is required";     } elseif (!preg_match('/^[a-zA-Zs'-]{2,30}$/', $name)) {         $errors["staffname"] = "Only letters, spaces, apostrophes and hyphens allowed (2–30 chars)";     }      // 2. 邮箱验证（格式 + DNS MX 检查，增强真实性）     $email = sanitize($_POST["email"] ?? "");     if (empty($email)) {         $errors["email"] = "Email is required";     } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {         $errors["email"] = "Please enter a valid email address";     } else {         $domain = substr(strrchr($email, '@'), 1);         if (!checkdnsrr($domain, 'MX')) {             $errors["email"] = "Domain does not accept email";         }     }      // 3. 主题验证（同姓名逻辑）     $subject = sanitize($_POST["subject"] ?? "");     if (empty($subject)) {         $errors["subject"] = "Subject is required";     } elseif (!preg_match('/^[a-zA-Zs'-]{2,100}$/', $subject)) {         $errors["subject"] = "Subject must contain only letters, spaces, and punctuation (2–100 chars)";     }      // 4. 问题类型（必选下拉项）     $problem_type = $_POST["problem_type"] ?? "";     if (empty($problem_type) || !in_array($problem_type, ["Hardware", "Software", "Software&Hardware", "Other"])) {         $errors["problem_type"] = "Please select a valid problem type";     }      // 5. 描述验证（最小长度限制）     $description = sanitize($_POST["description"] ?? "");     if (empty($description) || strlen($description) < 10) {         $errors["description"] = "Description is required and must be at least 10 characters";     }      // ✅ 关键判断：仅当无任何错误时，才执行数据库插入     if (empty($errors)) {         // 此处应使用 PDO 或 MySQLi 的预处理语句（强烈推荐）         try {             $pdo = new PDO("mysql:host=localhost;dbname=your_db", $user, $pass);             $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);              $stmt = $pdo->prepare(                 "INSERT INTO support_tickets (staff_name, email, subject, problem_type, description, created_at)                   VALUES (?, ?, ?, ?, ?, NOW())"             );             $stmt->execute([$name, $email, $subject, $problem_type, $description]);              // 成功后重定向（防止重复提交）             header("Location: success.php?msg=Ticket submitted successfully!");             exit;         } catch (PDOException $e) {             $errors["general"] = "System error. Please try again later.";         }     } } ?>

? 表单 HTML（精简版，配合上述 PHP）

   
   Staff Name:   <input type="text" name="staffname" value="" required>    
   Email:   " required>    
   Subject:   " required>    
   Problem Type:        Select...     Hardware     Software     Software & Hardware     Other       
   Description:   <?php echo htmlspecialchars($description ?? ""); ?>    Submit Ticket 

⚠️ 关键注意事项

• 绝不跳过验证就写库：所有 INSERT/UPDATE 操作必须包裹在 if (empty($errors)) { … } 条件块内；
• 使用预处理语句：原始代码中的 mysqli_real_escape_string 已过时，pdo 或 MySQLi 的 prepare() 才是防 SQL 注入的黄金标准；
• 防止重复提交：成功插入后务必用 header(“location: …”) 重定向，避免用户刷新导致二次提交；
• 错误反馈要具体：为每个字段单独设置 $errors[‘field’]，并在对应 旁显示，提升用户体验；
• 客户端验证仅为辅助：可保留 required、type=”email” 等 html5 属性作快速反馈，但绝不能依赖它们作为唯一校验。

通过以上结构，你将构建出既健壮又符合现代 Web 安全规范的服务端表单处理流程：验证失败则停留原页并高亮错误；验证通过则安全写库并跳转成功页——真正实现“无效输入零入库”。