PHP表单处理关键在于安全校验、编码统一和防重复提交：需用isset()判断字段存在，filter_input()或htmlspecialchars()过滤输入，预处理语句防SQL注入，UTF-8编码贯穿前后端，并用session token机制避免重复提交。
PHP 表单提交和处理本身不难，难的是默认配置下容易漏掉关键校验、编码错误或 CSRF 风险——尤其是新手直接用 $_POST 接数据就 echo 或入库，结果遇到空值、XSS、SQL 注入或中文乱码。
表单怎么发：method、action 和 enctype 决定后端能不能收到
前端 <form></form> 的三个属性直接影响 PHP 能否正确读取数据：
-
method="post"（或"get"）必须和 PHP 中读取方式一致：$_POST对应method="post"，$_GET对应method="get" -
action指向处理脚本，比如action="handle.php"；留空则提交到当前 URL - 如果上传文件，
enctype必须设为"multipart/form-data"，否则$_FILES为空 - 中文字段名或值在 GET 提交时容易乱码，建议统一用 POST + UTF-8 页面编码（
<meta charset="UTF-8">）
PHP 怎么安全地收：别直接用 $_POST['xxx']
直接访问 $_POST['username'] 可能触发 Notice（键不存在），也可能被注入恶意 HTML 或 SQL。必须做两件事：存在性判断 + 过滤/转义。
- 用
isset($_POST['username'])或array_key_exists('username', $_POST)判断字段是否存在 - 用
filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING)清洗（PHP 8.1+ 已弃用FILTER_SANITIZE_STRING，改用FILTER_SANITIZE_FULL_SPECIAL_CHARS或手动htmlspecialchars()） - 入库前必须用预处理语句（PDO 或 MySQLi），绝不用拼接 SQL：
$stmt = $pdo->prepare("INSERT INTO user(name) VALUES (?)"); $stmt->execute([$_POST['username']]); - 对输出到 HTML 的变量，始终用
htmlspecialchars($str, ENT_QUOTES, 'UTF-8')
提交后怎么避免重复提交：token 机制不能省
用户刷新成功页、点两次提交按钮，都会导致重复插入。PHP 原生方案是 session + hidden token：
立即学习“PHP免费学习笔记（深入）”；
- 表单生成时写入：
$_SESSION['token'] = bin2hex(random_bytes(32));，并在表单里加<input type="hidden" name="token" value="<?= $_SESSION['token'] ?>"> - 处理时验证：
if (!hash_equals($_SESSION['token'], $_POST['token'] ?? '')) { die('Invalid token'); } - 验证通过后立刻重置：
unset($_SESSION['token']);，防止同一 token 多次使用 - 注意 session 必须在
session_start()后才能读写，且不能有任何输出（包括空格、BOM）在它之前
常见报错和对应解法
这些错误出现频率高，但原因很具体：
-
Undefined index: xxx→ 没检查isset()就直接读$_POST['xxx'] -
Notice: Array to string conversion→ 把整个$_POST当字符串 echo，比如echo $_POST; - 中文显示为问号或乱码 → 页面 meta、PHP 文件保存编码、MySQL 字段 collation 三者不都是
utf8mb4 -
$_FILES全是空 → 表单没设enctype="multipart/form-data"，或 PHP 配置file_uploads = Off（查phpinfo()确认）
真正卡住人的往往不是语法，而是表单提交路径、字符编码链路、token 生命周期这些隐性环节。调试时优先确认：浏览器 Network 里请求体有没有数据、PHP 是否真的收到了、收到后有没有被过滤掉特殊字符——而不是一上来就怀疑框架或服务器。
