本文详细阐述了在使用javascript fetch api发送application/x-www-form-urlencoded类型post请求时，php后端正确接收数据的方法。核心问题在于php脚本错误地尝试从url查询字符串中解析post数据，而非通过$_post超全局变量获取。教程将指导开发者如何修正php代码以确保数据正确传输和处理，并强调了使用预处理语句来防范sql注入等安全最佳实践。
在现代Web开发中，前端与后端的数据交互是核心环节。当使用JavaScript的fetch API发送POST请求到PHP后端时，一个常见的误区在于后端如何正确地解析和获取前端传递的数据。本文将深入探讨这一问题，并提供一套安全、高效的解决方案。
理解POST数据传输机制
当JavaScript通过fetch API发送POST请求时，数据的传输方式取决于请求头中的Content-Type。在提供的示例中，JavaScript代码明确设置了Content-Type: ‘application/x-www-form-urlencoded’，并将数据以键值对的形式编码到请求体（body）中：
function insertNewRecord(data) { fetch('/configs/database/add.php', { method: 'POST', headers: { 'Content-Type': 'application/x-www-form-urlencoded' // 关键的Content-Type }, body: `name=${data.name}&contact=${data.contact}&delivery=${data.delivery}&value=${data.value}` // 数据在请求体中 }) .then(function(response) { if (response.ok) { return response.text(); } throw new Error('Error in the request.'); }); // ... 后续DOM操作}
这里需要明确的是，当Content-Type为application/x-www-form-urlencoded时，数据是作为HTTP请求的主体部分发送的，而不是作为URL的查询字符串（Query String）。URL查询字符串通常用于GET请求，或者在POST请求中传递一些辅助参数，但不用于传输主要的表单数据。
PHP中的$_POST超全局变量
PHP提供了一系列超全局变量来访问HTTP请求中的数据，其中$_POST就是专门用于获取Content-Type为application/x-www-form-urlencoded或multipart/form-data的POST请求体数据的。当PHP接收到此类POST请求时，它会自动解析请求体，并将键值对填充到$_POST数组中。
立即学习“PHP免费学习笔记（深入）”；
然而，原始的PHP代码试图通过解析$_SERVER[‘REQUEST_URI’]来获取数据：
<?php // ... 获取URL相关信息 $CurPageURL = $protocol . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']; $parts = parse_url($CurPageURL); if(count($parts)
$parts[‘query’]只会包含URL中问号（?）之后的部分，这在POST请求中通常是空的，或者只包含GET方式传递的少量参数。因此，当前端通过请求体发送数据时，$query数组将是空的或不包含期望的数据，导致$query[‘name’]等变量返回undefined或引发错误。
修正PHP后端代码
要正确接收JavaScript发送的POST数据，只需直接使用$_POST超全局变量。此外，为了确保数据库操作的安全性，强烈建议使用预处理语句（Prepared Statements）来防止SQL注入攻击。
以下是修正后的PHP代码示例：
'Only POST requests are allowed.']); exit();}// 检查并获取POST数据// 始终对用户输入进行验证和清理$name = isset($_POST['name']) ? trim($_POST['name']) : '';$contact = isset($_POST['contact']) ? trim($_POST['contact']) : '';$delivery = isset($_POST['delivery']) ? trim($_POST['delivery']) : '';$value = isset($_POST['value']) ? floatval($_POST['value']) : 0.0; // 假设value是浮点数// 简单的输入验证if (empty($name) || empty($contact) || empty($delivery) || $value 'Invalid or missing data.']); exit();}try { $conn = OpenCon(); // 假设OpenCon()返回一个PDO或mysqli连接对象 // 使用预处理语句防止SQL注入 $sql = "INSERT INTO users (name, contact, delivery, value) VALUES (?, ?, ?, ?)"; // 假设使用PDO $stmt = $conn->prepare($sql); $stmt->execute([$name, $contact, $delivery, $value]); // 假设使用mysqli // $stmt = $conn->prepare($sql); // $stmt->bind_param("sssd", $name, $contact, $delivery, $value); // sssd表示string, string, string, double // $stmt->execute(); if ($stmt->affected_rows > 0 || $stmt->rowCount() > 0) { // 根据数据库驱动判断 http_response_code(201); // Created echo json_encode(['message' => 'Record inserted successfully.']); } else { http_response_code(500); // Internal Server Error echo json_encode(['error' => 'Failed to insert record.']); } $stmt->close(); CloseCon($conn); // 假设CloseCon()关闭数据库连接} catch (Exception $e) { http_response_code(500); // Internal Server Error echo json_encode(['error' => 'Database error: ' . $e->getMessage()]); // 生产环境中不应直接暴露错误信息，应记录到日志}?>
db_config.php 示例 (PDO):
PDO::ERRMODE_EXCEPTION, PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, PDO::ATTR_EMULATE_PREPARES => false, ]; try { $pdo = new PDO($dsn, $dbuser, $dbpass, $options); return $pdo; } catch (PDOException $e) { throw new PDOException($e->getMessage(), (int)$e->getCode()); }}function CloseCon($conn) { $conn = null; // PDO连接通过设置null来关闭}?>
注意事项与最佳实践
数据安全性（SQL注入）：核心：永远不要直接将用户输入拼接到SQL查询字符串中。这会导致严重的SQL注入漏洞。解决方案：使用预处理语句（Prepared Statements），无论是通过PDO还是MySQLi扩展，都是防御SQL注入最有效的方法。它们将SQL逻辑与数据分离，确保数据不会被解释为可执行的SQL代码。数据验证与清理：在服务器端，对所有接收到的用户输入进行严格的验证和清理至关重要。这包括检查数据类型、长度、格式，并移除潜在的恶意字符。例如，使用trim()移除空白字符，filter_var()进行过滤，或者自定义验证逻辑。错误处理：前端和后端都应有健壮的错误处理机制。后端应返回有意义的HTTP状态码（如400 Bad Request, 405 Method Not Allowed, 500 Internal Server Error）和JSON格式的错误信息。前端应根据后端返回的状态码和错误信息，向用户提供友好的反馈。Content-Type与PHP数据获取：application/x-www-form-urlencoded：数据在$_POST中。multipart/form-data：数据在$_POST和$_FILES中（用于文件上传）。application/json：数据不会自动解析到$_POST。需要通过file_get_contents(‘php://input’)获取原始请求体，然后使用json_decode()进行解析。
总结
正确处理前端JavaScript Fetch API发送的POST请求是构建健壮Web应用的基础。关键在于理解不同Content-Type的数据传输机制，并使用PHP中相应的超全局变量（如$_POST）来获取数据。同时，将安全性放在首位，始终采用预处理语句来防范SQL注入，并对所有用户输入进行严格的验证和清理。遵循这些最佳实践，将大大提升你的Web应用程序的稳定性和安全性。
以上就是前端Fetch POST与后端PHP $_POST的正确姿势的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1540994.html
微信扫一扫 
支付宝扫一扫 
