本文详解如何在 PHP 表单验证页面（如 page2.php）中安全、可靠地保留从上一页（如 page1.php）传入的 URL 参数（如 ?var=123），确保多次提交后该参数不丢失，便于后续存入数据库。

本文详解如何在 php 表单验证页面（如 page2.php）中安全、可靠地保留从上一页（如 page1.php）传入的 url 参数（如 `?var=123`），确保多次提交后该参数不丢失，便于后续存入数据库。

在 PHP 表单开发中，一个常见需求是：从来源页（如 page1.php）通过 URL 传递关键参数（如用户 ID、订单号、来源标识等）至表单页（page2.php），并在表单提交、验证、重载过程中持续保留该参数——否则，当用户点击“提交”触发 POST 请求后，原始 GET 参数会因 $_SERVER["PHP_SELF"] 默认指向当前脚本而丢失，导致后续逻辑（如数据库插入关联字段）失败。

✅ 正确做法：将 GET 参数隐式嵌入表单

核心原理是：在

标签的 action 属性中显式拼接原始查询参数

，而非依赖 $_SERVER["PHP_SELF"]（它不包含查询字符串）。同时，为防 XSS，需对参数值进行严格转义。

以下是在 page2.php 中的推荐实现（已整合原代码并修复重复定义、冗余逻辑等问题）：

<?php
// 安全获取并转义传入的 var 参数（来自 page1.php?var=xxx）
$passed_var = isset($_GET['var']) ? filter_var($_GET['var'], FILTER_SANITIZE_STRING) : '';
// 若需更严格校验（如必须为整数），可改用 FILTER_VALIDATE_INT 等

function test_input($data) {
    $data = trim($data);
    $data = stripslashes($data);
    $data = htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
    return $data;
}

$nameErr = $emailErr = "";
$name = $email = "";

if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // 验证 name
    if (empty($_POST["name"])) {
        $nameErr = "Name is required";
    } else {
        $name = test_input($_POST["name"]);
        if (!preg_match("/^[a-zA-Z-' ]*$/", $name)) {
            $nameErr = "Only letters and white space allowed";
        }
    }

    // 验证 email
    if (empty($_POST["email"])) {
        $emailErr = "Email is required";
    } else {
        $email = test_input($_POST["email"]);
        if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
            $emailErr = "Invalid email format";
        }
    }

    // ✅ 关键：此时 $passed_var 已通过 GET 获取并保留，可用于数据库操作
    if (empty($nameErr) && empty($emailErr) && !empty($passed_var)) {
        // 示例：插入数据库（请替换为实际 PDO/MySQLi 操作）
        // $stmt = $pdo->prepare("INSERT INTO users (name, email, source_id) VALUES (?, ?, ?)");
        // $stmt->execute([$name, $email, $passed_var]);
        // echo "<p>Submitted successfully with source ID: " . htmlspecialchars($passed_var) . "</p><p><span>立即学习</span>“<a href="https://pan.quark.cn/s/7fc7563c4182" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">PHP免费学习笔记（深入）</a>”；</p><div class="aritcle_card flexRow">
                                                        <div class="artcardd flexRow">
                                                                <a class="aritcle_card_img" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站"><img
                                                                                src="https://img.php.cn/upload/skill/000/000/081/179040786932301.jpg" alt="btpanel phpsite 宝塔面板PHP网站" ></a>
                                                                <div class="aritcle_card_info flexColumn">
                                                                        <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站">btpanel phpsite 宝塔面板PHP网站</a>
                                                                        <p>宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理</p>
                                                                </div>
                                                                <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
                                                        </div>
                                                </div>";
    }
}
?>

<!DOCTYPE html>
<html lang="zh-CN">
<head>
    <meta charset="UTF-8">
    <title>PHP Form with Persistent Parameter</title>
    <style>.error { color: #FF0000; }</style>
</head>
<body>
    <h2>PHP Form Validation Example</h2>
    <p><span class="error">* required field</span></p>

    <!-- ✅ 关键修改：action 显式包含原始 var 参数 -->
    <form method="post" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF'] . '?' . http_build_query(['var' => $passed_var])); ?>">
        Name: <input type="text" name="name" value="<?php echo htmlspecialchars($name); ?>">
        <span class="error">* <?php echo $nameErr; ?></span>
        <br><br>
        E-mail: <input type="text" name="email" value="<?php echo htmlspecialchars($email); ?>">
        <span class="error">* <?php echo $emailErr; ?></span>
        <br><br>
        <input type="submit" name="submit" value="Submit">
    </form>

    <?php if (!empty($name) && !empty($email) && !empty($passed_var)): ?>
        <h2>Your Input:</h2>
        <p>Name: <?php echo htmlspecialchars($name); ?></p>
        <p>Email: <?php echo htmlspecialchars($email); ?></p>
        <p>Source ID (from page1.php): <?php echo htmlspecialchars($passed_var); ?></p>
    <?php endif; ?>
</body>
</html>

⚠️ 注意事项与最佳实践

• 不要使用 $_SERVER["PHP_SELF"] 直接拼接未过滤的 $_SERVER["QUERY_STRING"]：这存在 XSS 风险（如 page2.php/?var=<script>alert(1)</script>）。务必使用 http_build_query() + htmlspecialchars() 双重防护。
• 避免重复定义函数：原代码中 test_input() 被定义两次，PHP 会报致命错误；本方案仅保留一次。
• 参数校验不可省略：即使参数来自可信内部跳转，也应使用 filter_var() 进行类型/格式过滤，防止恶意输入污染业务逻辑。
• 扩展性建议：若需传递多个参数（如 ?var=123&source=marketing&ref=abc），http_build_query($_GET) 可自动处理全部，无需硬编码。
• 替代方案（Session）：若参数敏感或 URL 过长，可在 page1.php 中 $_SESSION['passed_var'] = $var;，page2.php 中读取并销毁，但需确保 session_start() 已调用。

通过以上方式，$passed_var 将在每次表单提交后稳定存在于 $_GET['var'] 中，既满足验证流程的健壮性，又为数据库写入提供可靠上下文，真正实现跨请求的参数持久化。