PHP 處理 HTML 表單數據：從舊版全域變數到現代超全域陣列的演進

表單資料在 PHP 中的傳遞機制演進史與最佳實踐

PHP 處理表單資料的方式經歷了重大變遷：從 register_globals 自動建立全域變數，到 $HTTP_POST_VARS、再到現代 $_POST/$_GET/$_REQUEST 超全域陣列。本文詳細對比各版本差異、安全風險與遷移指南。

歷史版本演進時間軸

舊版全域變數模式 (已淘汰，僅供理解舊碼)

<?php
// PHP 4.1 前，register_globals=On 時
// 表單  自動建立 $ship 變數
echo "Ship = $ship<br>";
echo "Tripdate = $tripdate<br>";
echo "Exploration = $exploration<br>";
echo "Contact = $contact<br>"; // 未勾選 checkbox 變數不存在
?>

致命缺陷**：

• 變數來源不可追蹤 (GET/POST/COOKIE/SESSION 混淆)
• 未初始化變數可被 URL 覆蓋 (?admin=1 竊取權限)
• 命名衝突導致邏輯錯誤

現代超全域陣列標準用法

<?php
// 明確來源、類型安全、可過濾
$name = $_POST['name'] ?? '';           // 僅接受 POST
$page = $_GET['page'] ?? 1;             // 僅接受 GET
$token = $_REQUEST['csrf_token'] ?? ''; // 接受 GET/POST/COOKIE (慎用)

// 檔案上傳專用
$file = $_FILES['avatar'] ?? null;
if ($file && $file['error'] === UPLOAD_ERR_OK) {
    move_uploaded_file($file['tmp_name'], "uploads/{$file['name']}");
}

// 多選欄位 (name="colors[]") 自動成陣列
$colors = $_POST['colors'] ?? []; // ['red', 'blue']
?>

表單編碼類型與 PHP 解析對應

安全處理最佳實踐

1. 輸入過濾：filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL)
2. 輸出編碼：htmlspecialchars($input, ENT_QUOTES, 'UTF-8') 防 XSS
3. CSRF 保護：表單隱藏欄位 <input name="csrf" value=""> 驗證
4. 檔案上傳驗證：MIME 類型白名單、大小限制、隨機化檔名、移除執行權限
5. 大小限制：post_max_size、upload_max_filesize、max_input_vars 防止 DoS

遷移舊專案檢查清單

# 1. 搜尋 register_globals 相關
grep -r "register_globals" /path/to/project

# 2. 搜尋長陣列別名
grep -r "HTTP_POST_VARS\|HTTP_GET_VARS\|HTTP_SERVER_VARS" /path/to/project

# 3. 搜尋直接使用未定義變數 (潛在 register_globals 依賴)
# 靜態分析工具
phpstan analyse src --level 5
psalm --show-info=false

# 4. 替換策略
# $var → $_POST['var'] 或 $_GET['var'] 或 $_REQUEST['var']
# 建議明確指定來源，避免 $_REQUEST

現代框架封裝對照