Einstieg in die Programmierung: Einfache PHP-Skripte

Transkript

1 First Kapitel 4 KAPITEL 4 Hier In diesem Mini Kapitel: IVZ eingeben! Ein PHP-Skript zur Datumsausgabe Formulare für Benutzereingaben Formulardatenverarbeitung durch PHP-Skripte PHP-Comboskripte und Includes Einstieg in die Programmierung: Einfache PHP-Skripte Erstellen auf den Arbeitsseiten (siehe Muster) Abstand untere Tabellenlinie zu Textanfang 1,8 cm -> also: manuell auf den Arbeitsseiten ziehen!!! Im vorletzten Kapitel ist uns PHP ja schon einmal begegnet. Deshalb wissen Sie bereits schon, dass ein PHP-Skript eine Datei ist, die auf einem Webserver abgelegt wird und von einem Webbrowser über das Internet durch einen HTTP-Request angefordert werden kann. Sie erinnern sich vermutlich auch noch daran, dass so ein PHP-Dokument aus HTML mit eingebetteten Spezial-Tags besteht, die PHP-Code enthalten. Vor dem Versand durch den Webserver wird das Dokument vom Server nach diesen Spezial- Tags durchsucht. Der in ihnen enthaltene PHP-Code, d.h. die PHP-Programmanweisungen, wird dann auf der Stelle durch den Webserver ausgeführt. Etwaige Ausgabedaten, die sich aus den PHP-Befehlen in den Tags ergeben, werden an der entsprechenden Stelle anstatt der PHP-Tags in die Datei eingefügt. Sobald die Datei durch den Server fertig bearbeitet worden ist, wird sie in einer HTTP-Response an den Browser geschickt. Der Browser interpretiert die Antwort entsprechend, z.b. (typischerweise) als HTML-Code einer Webseite. Ein PHP-Skript zur Datumsausgabe Sehen wir uns den schon besprochenen Ablauf einmal anhand eines einfachen Beispiels an, das Sie wie alle anderen Beispiele in diesem Buch auch online auf dem O Reilly-Webserver ( finden können. Den Code des Beispiels finden Sie in der PHP-Datei datum.php für dieses Kapitel: Beispiel 4-1: Der Code in datum.php <?php // Dieses einfache PHP-Skript gibt das aktuelle Datum und die Zeit aus. $datumundzeit = getdate(); $jahr = $datumundzeit["jahr"]; $monat = $datumundzeit["mon"]; 49

2 Beispiel 4-1: Der Code in datum.php (Fortsetzung) $tag = $datumundzeit["mday"]; $stunden = $datumundzeit["stunden"]; $minuten = $datumundzeit["minuten"]; $sekunden = $datumundzeit["sekunden"];?> <html> <head> <title> Das heutige Datum ist der <?php echo $tag.".".$monat.". anno domini ".$jahr;?> </title> </head> <body> <h1>die momentane Uhrzeit an diesem Webserver ist <?php echo $stunden. ":".$minuten.":".$sekunden;?></h1> </body> </html> Links Wenn Sie diese Datei vom Browser aus aufrufen, z.b. indem Sie die entsprechende URL in das Adressenfeld des Browsers eingeben, wird eine Webseite angezeigt, in deren Titel das aktuelle Datum steht. Im Hauptfenster des Browsers wird neben etwas Überschriftentext die aktuelle Zeit angezeigt (siehe Abbildung 4-1). Abbildung 4-1: Die Ausgabe von datum.php im Browserfenster Bis die Seite angezeigt wird, passieren die folgenden Dinge: Nachdem der Browser einen HTTP-Request an den angegebenen Server geschickt und ihn um Übersendung des Dokuments datum.php gebeten hat, erkennt der Server an der Dateiendung.php, dass es sich um eine PHP-Datei handelt. Er lädt daraufhin die Datei von seiner Festplatte und lässt sie durch den PHP-Interpreter bearbeiten. Wie bereits erwähnt, werden dabei jeweils die Teile der Datei, die sich zwischen <?php- und?>- Tags befinden, als Programmcode ausgeführt. Der erste PHP-Programmteil, der Zeile für Zeile ausgeführt wird, besteht (neben den Tags und dem Kommentar) aus den folgenden Kommandos, die jeweils mit einem Semikolon enden: $datumundzeit = getdate(); $jahr = $datumundzeit["year"]; $monat = $datumundzeit["mon"]; $tag = $datumundzeit["mday"]; 50 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

3 Rechts $stunden = $datumundzeit["hours"]; $minuten = $datumundzeit["minutes"]; $sekunden = $datumundzeit["seconds"]; Wenn Sie noch nie programmiert haben, sehen die Zeilen oben für Sie vielleicht ein bisschen wie Gleichungen aus dem Mathematikunterricht aus. Wenn Sie Ihre Mathematikstunden noch nicht ganz aus dem Oberstübchen verdrängt haben, entsinnen Sie sich vielleicht, dass es dort von Variablen nur so wimmelte und dass das, was auf der linken Seite des Gleichheitszeichens stand, gleich dem Ausdruck auf der rechten Seite des Gleichheitszeichens war. Sie entsinnen sich wahrscheinlich auch noch, dass eine Variable ein Symbol war, das beliebige Werte annehmen konnte. Bevor Sie sich jetzt in eine Matheklausur versetzt fühlen, gibt es eine gute Nachricht: Die PHP-Zeilen sehen zwar so aus wie Gleichungen, sind es aber nicht ganz. In diesem Fall handelt es sich nämlich nur um Wertzuweisungsbefehle. Und die sind eigentlich ganz einfach. Zunächst einmal kann PHP in der Regel die rechte Seite eines Wertzuweisungsbefehls für Sie berechnen bzw. auswerten oder konstruieren. Das Resultat dieser Berechnung, Auswertung oder Konstruktion ist dann ein Wert oder auch eine kompliziertere Datenstruktur. Links vom Gleichheitszeichen steht normalerweise eine Variable. Eine solche Variable erkennen Sie in einem PHP-Programm daran, dass ihr Name mit einem Dollarzeichen beginnt. Der Rest des Namens ist ziemlich beliebig. Üblicherweise verwendet man für den Namen eine Bezeichnung, die auf den Inhalt der Variablen hinweist. Die ungewöhnliche Groß-/Kleinschreibung in unseren Beispielen folgt dabei einer verbreiteten Konvention (siehe Kasten»Variablen«weiter unten). Eine Variable kann einen einzelnen Wert oder auch kompliziertere Datenstrukturen aufnehmen und speichern. In einem Wertzuweisungsbefehl wird dieser Variablen der Wert oder die Datenstruktur zugewiesen, die sich aus dem Ausdruck rechts des Gleichheitszeichens ergeben hat. Die Variable speichert diesen Wert oder die Datenstruktur, bis ihr entweder ein anderer Wert (oder eine andere Datenstruktur) zugewiesen wird oder bis das Skript beendet wird. In unserem konkreten Fall macht der erste Befehl Folgendes: Er ruft eine so genannte Funktion auf. Hier handelt es sich um die Funktion getdate(), eine der vielen eingebauten Funktionen von PHP. Funktionen werden wir später noch eingehend besprechen. Für den Augenblick sollten Sie sich merken, dass eine Funktion bei der Ausführung immer durch ihren Rückgabewert ersetzt wird. getdate() gibt als Rückgabewert ein so genanntes assoziatives Array an PHP zurück. Ein solches Array ist ein Beispiel für eine etwas komplexere Datenstruktur. Wir werden sie uns gleich noch näher ansehen. In unserem Wertzuweisungsbefehl speichern wir das Array zunächst aber in der PHP-Variablen $datumundzeit ab. Damit stellt $datumundzeit nun selbst ein assoziatives Array dar. Ein PHP-Skript zur Datumsausgabe 51

4 Links Variablen Variablen in PHP können Sie leicht erkennen oder auch selbst definieren. Eine Variable fängt immer mit einem Dollarzeichen an, danach folgt ein Buchstabe (keine Umlaute oder ß, bitte!) oder ein Unterstreichungszeichen (Underscore). Dem darf eine beliebige Kombination dieser Zeichen sowie der Ziffern 0 bis 9 folgen. Die folgenden Variablennamen sind also zulässig: $kiwi $_kiwi $_0 $a $kiwi2 $a_b_c $a1 Am besten fangen Sie Ihre eigenen Variablennamen mit einem Buchstaben an, zwecks Unterscheidung von Variablen, die durch PHP vordefiniert sind diese beginnen mit einem Unterstrich nach dem Dollarzeichen. Apropos Namensgebung bei Variablen: In den Beispieldateien in diesem Buch lernen Sie auch gleich eine weit verbreitete Konvention kennen: die so genannten Camel Caps. Code ist nämlich wesentlich lesbarer, wenn er nicht nur aus Kleinbuchstaben besteht. Bei Camel Caps werden die Anfangsbuchstaben aller im Variablennamen vorkommenden Wörter (ggf. wie hier mit Ausnahme des ersten Worts) großgeschrieben, alle anderen Buchstaben klein. Damit kriegen die Namen»Kamelhöcker«und sind im Code einfacher zu finden. Eine funktionelle Bedeutung hat das allerdings nicht PHP ist es egal, ob Ihr Variablenname augenfreundlich ist. Ein weiterer Vorteil: Mit einer Namensgebungskonvention dieser Art ist es meist relativ klar, wie sich die Variable schreibt. Das vermeidet Zeit raubende Fehler, die durch versehentlich ungesetzte»neue«variablen entstehen können. Variablen können Sie einfache Werte zuweisen, wobei es egal ist, ob Sie Zahlenwerte oder Strings (Zeichenketten) verwenden: $summand1 = 3; und $summand1 = "3"; sind komplett äquivalent. Aufpassen müssen Sie lediglich, wenn Sie Variablen in mathematischen Ausdrücken verwenden, z.b. in einer Summe: $summand1 = 3; $summand2 = "4"; $summe = $summand1 + $summand2; funktioniert ($summe enthält dann den Wert 7), aber $summand1 = 3; $summand2 = "vier"; $summe = $summand1 + $summand2; geht garantiert daneben! Beim Aneinanderfügen von Strings mit dem Punkt-Operator geht es aber immer gut: $ecken = 3; $huteckenanzahl = "Mein Hut, der hat ".$ecken." Ecken!"; speichert Mein Hut, der hat 3 Ecken! in $huteckenanzahl ab. 52 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

5 Rechts Ein assoziatives Array speichert Datenwerte jeweils unter einem Schlüssel (key) ab. Mit verschiedenen Schlüsseln lassen sich so beliebig viele Werte in einem Array (und damit in einer Variablen) speichern. Bei einem solchen Schlüssel kann es sich um eine beliebige Zeichenkette (String) handeln. In unserem Fall sorgt getdate() beispielsweise dafür, dass wir unter dem Schlüssel hours die Stunden der aktuellen Zeit und unter mday den jeweiligen Tag im Monat finden (also zum Beispiel den 23.). Im Prinzip recht einfach, oder? Wie aber kommen wir an die Werte in einem assoziativen Array heran? Das sehen wir in den nächsten Zeilen. Der Bequemlichkeit halber speichern wir die für uns interessanten Werte des Arrays dort gleich wieder in einzelnen Variablen ($jahr, $monat usw.) ab. Damit müssen wir später nicht immer auf die assoziative Array- Syntax zurückgreifen. Die Befehle, die Array-Werte in die Einzelvariablen umkopieren, illustrieren die nötige Array-Syntax, wie z.b. im ersten Befehl: $jahr = $datumundzeit["year"]; Hier sehen Sie, wie Sie z.b. auf den Eintrag für das Jahr in $datumundzeit zurückgreifen können: Sie setzen den Schlüssel (in unserem Fall die Zeichenkette "year") in eckige Klammern direkt hinter den Namen des Arrays. Dieser Ausdruck wird von PHP als dasjenige Element des Arrays ausgewertet, das unter dem entsprechenden Schlüssel abgespeichert wurde. Ausgabe als zusammengesetzter String Bisher haben wir also ein Array erzeugt, es umkopiert und einige seiner Elemente in einzelnen Variablen abgespeichert. Das Ganze spielt sich bei der Ausführung aber komplett im Verborgenen ab. Da der erste PHP-Programmschnipsel damit keinerlei Ausgabe produziert hat, fällt er in der Ausgabe an den Browser ersatzlos weg. Im Anschluss an diesen ersten Teil enthält die PHP-Datei erst einmal etwas HTML: ein <html>-tag, ein <head>-tag und ein <title>-tag sowie etwas Text. Diese werden später unverändert an den Browser weitergereicht. Dann treffen wir wieder auf ein <?php-tag: <?php echo $tag.".".$monat.". anno domini ".$jahr;?> Das Tag enthält nur einen einzigen PHP-Befehl, aber der hat es in sich! Der Befehl echo gibt die jeweils folgende Zeichenkette (String) an dieser Stelle an den Browser aus. Ein String kann bestehen aus 1. einer Variablen; beispielsweise lassen sich $tag, $monat und $jahr jeweils als Strings verstehen. 2. einer expliziten Zeichenkette, die zur Unterscheidung von anderem PHP-Code durch einzelne oder doppelte (hochgestellte) Anführungszeichen umgeben ist: Ein PHP-Skript zur Datumsausgabe 53

6 ' anno domini ' Links ist ein Beispiel, aber " anno domini " ist genauso erlaubt (siehe oben). 3. dem Rückgabewert einer Funktion. 4. einer Kombination aus Strings der drei vorhergehenden Typen, wobei zwei benachbarte Strings jeweils durch einen Punkt»zusammengeklebt«werden. Dreimal dürfen Sie raten, mit welcher Sorte String wir es hier zu tun haben: natürlich mit einem zusammengesetzen String, der aus den Teil-Strings $tag, ".", $monat, " anno domini " und $jahr besteht. Die Werte der Variablen sind ja noch aus dem ersten PHP-Programmschnipsel bekannt. Wenn also $tag den Wert 23 hätte, $monat den Wert 2 und $jahr den Wert 2003, würde der obige echo-befehl an Stelle des PHP-Tags den String anno domini 2003 an dieser Stelle in die Datei einfügen. Wie es weitergeht, können Sie sich wahrscheinlich denken. Als Übung könnten Sie vielleicht probieren, den Code des dritten PHP-Tags in der Datei datum.php zu analysieren. Alles schon bekannt? Na sehen Sie, ist doch gar nicht so schwer! Was der Browser sieht Sehen wir uns noch einmal kurz an, was der Server dem Browser nun letztendlich zuschickt: Beispiel 4-2: Eine typische HTML-Ausgabe von datum.php <html> <head> <title> Das heutige Datum ist der anno domini 2003 </title> </head> <body> <h1>die momentane Uhrzeit an diesem Webserver ist 14:22:37 </h1> </body> </html> Wie Sie sehen, ist nun kein PHP-Code mehr in dieser Ausgabe enthalten. Das ist auch gut so, weil der Browser kein PHP versteht. Der gesamte verbliebene Code ist HTML für den Browser also ein Kinderspiel. 54 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

7 Rechts Wenn Sie das obige Beispiel in der Praxis ausprobieren, werden Sie sehr schnell einen optischen Bug finden: Wenn die Sekunden oder Minuten kleiner als 10 sind, wird jeweils nur eine Stelle ausgegeben. Am Ende des Abschnitts»Formulardatenverarbeitung durch PHP-Skripte«in diesem Kapitel unter der Überschrift»Probieren Sie s selbst!«gibt es eine kleine Übung, mit der Sie dieses Problem beheben können. PS: Die Ausgabe von formatierten Daten und Zeiten in PHP ist übrigens auch erheblich einfacher möglich: mit der PHP-Funktion date(). So gibt Ihnen z.b. echo date("g:i"); die momentane Uhrzeit in Stunden und Minuten aus. Warum ich Ihnen das erst jetzt erzähle? Ganz einfach: Weil ich Ihnen eine schonende Einführung in Variablen, Arrays und zusammengesetzte Strings geben wollte. Außerdem sollten Sie sich frühzeitig an den Gedanken gewöhnen, dass auch bei einer so umfangreichen Sprache wie PHP die passende Funktion manchmal einfach nicht vorhanden oder aufzufinden ist. Dann ist Selberbasteln angesagt. Und genau dazu will ich Sie ja ermutigen! Formulare für Benutzereingaben Der Hauptgrund, aus dem Skriptsprachen wie PHP so beliebt sind, besteht darin, dass ein Webserver mit Hilfe von Skripten auf Eingaben des Browser-Benutzers reagieren kann zum Beispiel auf eine Bestellung in einem Online-Versandgeschäft. Bevor der Webserver reagieren kann, muss der Benutzer aber erst einmal ein Formular im Browserfenster ausfüllen, dessen Daten dann vom Browser an den Server geschickt werden. Dieses Formular wird im Normalfall durch den Browser beim Webserver angefordert und von diesem geliefert. Obwohl HTML-Formulare eigentlich nicht PHP-spezifisch sind, so sind sie doch hauptsächlich für den Einsatz in Verbindung mit Skriptsprachen wie PHP gedacht. Sie erinnern sich vielleicht an unser Projekt, das sich wie ein roter Faden durch dieses Buch zieht. Die Hauptseite dieser Website kennen Sie bereits. Wenn Sie aber dem Link»Ich will spenden«folgen, erwarten Sie, auf einer Seite zu landen, auf der Sie Ihre persönlichen Daten und die Einzelheiten zur Spende eingeben können bei einem Formular also. Sehen wir uns dieses Spendenformular namens spendenformular.php in Abbildung 4-2 einmal an. Hier sehen Sie eine ganze Anzahl von Formularelementen, von denen Ihnen die meisten bereits aus anderen Internetseiten bekannt vorkommen dürften: ein einzeiliges Texteingabefeld (für den Namen), ein mehrzeiliges Eingabefeld für die Adresse, eine Auswahlliste für die Höhe der Spende, ein Dateiauswahlfeld, um ein Foto des edlen Spenders beifügen zu können, drei Radio-Buttons zur Auswahl des Kreditkartentyps sowie zwei Texteingaben zur Angabe von Kreditkartennummer und -ablaufdatum. Schließlich bitten wir mit einer Checkbox um Erlaubnis, den Namen des Spenders veröffentlichen zu dürfen. Formulare für Benutzereingaben 55

8 Links Abbildung 4-2: Das Spendenformular in unserem Browser Wenn Sie das Formular in Ihren Browser laden, werden Sie feststellen, dass wir diese Genehmigung frecherweise schon einmal vorweggenommen haben lichtscheue Spender müssen sie also quasi aktiv widerrufen. Um die Spende auch abschicken zu können, gibt es einen Submit-Button mit der Aufschrift»Spende abschicken!«. Der Code unseres Spendenformulars So weit, so gut. Sehen wir uns einmal an, wie die Seite mittels PHP erzeugt wird und was sich sonst noch»unter der Motorhaube«verbirgt: Beispiel 4-3: Der Code in spendenformular.php <html> <head> <title>spendenformular für bedrohte Vögel</title> </head> <body> <form name="spende" action="spende.php" method="post" enctype="multipart/form-data"> <input type="hidden" name="ausgabezeit" value="<?php echo time();?>"> <h1>spendenformular</h1> Wir freuen uns, dass Sie spenden möchten! Bitte geben Sie Ihren Namen, Ihre Adresse, die Höhe der Spende und Ihre Kreditkartendaten ein. Drücken Sie 56 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

9 Rechts Beispiel 4-3: Der Code in spendenformular.php (Fortsetzung) dann auf "Spende abschicken!"</p> <p> <b>name:</b> <input type="text" name="spendername" size="80"></p> <p><b>adresse:</b><br> <textarea name="adresse" rows="4" cols="40" align="top"></textarea></p> <p><b>höhe der Spende:</b> <select name="betrag"> <?php for($i = 5; $i < 101; $i = $i + 5) { echo "<option value=\"".$i."\">".$i." \n";?> </select> <b>ihr Foto</b> (optional): <input name="spenderfoto" type="file"></p> <p><b>kreditkartentyp:</b> <input type="radio" name="kartentyp" value="visa">visa <input type="radio" name="kartentyp" value="mastercard">mastercard </p> <p><b>kreditkartennummer:</b> <input type="text" name="kreditkarte" size="20" maxlength="20"> <b>verfallsdatum der Kreditkarte:</b> <input type="text" name="ablaufdatum" size="4" maxlength="4"></p> <p> <b>klicken Sie hier, wenn wir Ihren Namen veröffentlichen dürfen:</b> <input type="checkbox" name="oeffentlich" checked></p> <p><input type="submit" value="spende abschicken!"></p> </form> </body> </html> Der Kopf der Datei birgt keine großen Überraschungen. Bis zum <body>-tag dürfte Ihnen eigentlich alles bekannt vorkommen. Nach dem <body>-tag fängt auch gleich unser Formular an. Wie das Formular zum Formular wird: das <form>-tag Um ein Formular zu einem Formular werden zu lassen, müssen sämtliche Eingabeelemente des Formulars von einem <form>-tag umgeben sein. Für jedes Formular darf es nur ein solches Tag geben, das auch andere Elemente der Seite (hier z.b. die Überschrift und den erklärenden Text) enthalten darf. Das muss aber nicht so sein: Wir hätten hier die Überschrift im <h1>-tag auch genauso gut aus dem <form>-tag herausziehen können. Die Attribute des <form>-tags geben an, wie das Formular heißt (eine Eigenschaft, die Sie später in Verbindung mit JavaScript in einer Erweiterung des Formulars nutzen können), an welches Skriptdokument die ausgefüllten Formulardaten geschickt Formulare für Benutzereingaben 57

10 werden sollen und ob dies mit einem HTTP-Request vom Typ GET oder POST geschehen soll. Weil wir hier unter Umständen auch eine Datei (das Foto des Spenders) zum Server heraufladen wollen, muss außerdem das enctype-attribut gesetzt werden, und zwar zu multipart/form-data. Versteckte Eingabefelder Als nächstes Formularelement begegnet uns ein etwas seltsames Konstrukt, das wir bisher noch nicht gesehen haben: <input type="hidden" name="ausgabezeit" value="<?php echo time();?>"> Kein Grund zur Panik: Der Typ des Eingabeelements <input> ist hidden (versteckt) das Element soll also absichtlich nicht zu sehen sein. In diesem Fall verwenden wir das Element, um mittels PHP die Formularausgabezeit in das Formular zu schreiben. Dazu nehmen wir die PHP-Funktion time(), die uns die Anzahl der Sekunden angibt, die seit dem 1. Januar 1970, 00:00:00 Uhr GMT, verstrichen sind. Als Inhalt des value-attributs wird dieser Wert unter dem Namen ausgabezeit an den Server zurückgegeben, wenn das Formular ausgefüllt an den Server zurückgeschickt wird. Wozu das Ganze? Versteckte Eingabefelder wie dieses werden in der Praxis recht häufig eingesetzt. Sie ermöglichen dem Server, Daten auf dem Browser zwischenzuspeichern, während das Formular vom Benutzer ausgefüllt wird, und sie beim Einreichen des Formulars wieder zurückzubekommen. Damit ist es beispielsweise möglich, komplizierte Eingabevorgänge über mehrere Formulare zu erstrecken und jedem neuen Formular die Eingabedaten der jeweils vorhergehenden Formulare in versteckter Form wieder beizufügen. In anderen Fällen lassen sich versteckte Felder zur Identifizierung des Benutzers verwenden, was zur Authentifizierung und/oder zur Untersuchung von Benutzerverhalten verwendet werden kann. In unserem Fall könnte uns z.b. interessieren, wie lange ein Benutzer typischerweise braucht, um unser Formular auszufüllen. Vielleicht interessiert uns in diesem Zusammenhang ob Spender größerer Beträge länger brauchen, um sich von ihren Euros zu trennen. Wir könnten den Zeitstempel aber auch dazu verwenden, bei Software-Upgrades eventuell veraltete Formulare anders zu behandeln. Die Benutzung versteckter Eingabefelder zur Benutzeridentifizierung birgt allerdings gewisse Sicherheitsrisiken wir werden das in Kapitel 7 noch näher besprechen. Hier dient das versteckte Element erst einmal dazu, Ihnen zu zeigen, was ein verstecktes Eingabeelement ist: im Prinzip ein Texteingabeelement, dessen Wert bereits gesetzt ist. Wenn die Daten des Elements (Name und Wert/Value) an den Server zurückgeschickt werden, sind sie dort von denen eines gewöhnlichen Texteingabeelements nicht mehr zu unterscheiden. Links 58 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

11 Rechts Texteingabefelder Ein solches gewöhnliches Texteingabefeld ist das nächste Eingabeelement, das uns erwartet: <input type="text" name="spendername" size="80"> Da der Benutzer hier den Wert durch Tastatureingabe selbst setzen soll, ist kein value-attribut angegeben (obwohl dies zur Angabe eines Default-Texts verwendet werden kann). Dafür haben wir die Größe des Texteingabefelds in Zeichen über das size-attribut angegeben. Beachten Sie, dass das size-attribut nur kontrolliert, wie groß das Eingabefeld im Browser dargestellt wird. Sie können hier auch einen Spendernamen eingeben, der über 80 Zeichen lang ist. Für mehrzeilige Texteingaben empfiehlt sich eine <textarea>. Dieses Eingabeelement unterscheidet sich etwas von den üblichen <input>-tags: <textarea name="adresse" rows="4" cols="40"></textarea> Wie ein <input>-tag verfügt auch die Textarea über einen Namen, der zusammen mit dem in der Textarea eingegebenen Text an den Server übergeben wird. Die Größe wird allerdings über die Attribute rows (Zeilen) und cols (Spalten) eingestellt. Ein value-attribut wird nicht verwendet, Default-Texte können stattdessen zwischen das öffnende <textarea>-tag und das abschließende </textarea>-tag geschrieben werden, z.b. so: <textarea name="adresse" rows="4" cols="40"> Geben Sie hier Ihre Adresse ein </textarea> <select>-auswahllisten Das nächste Eingabeelement des Formulars ist ein <select>-auswahlelement. In einem statischen HTML-Formular würde es so aussehen: <select name="betrag"> <option value="5">5 <option value="10">10... <option value="100">100 </select> Hierbei gibt das <select>-tag den Namen an, unter dem der ausgewählte Wert an den Server übergeben wird. Innerhalb des <select>-tags finden wir eine Anzahl von <option>-tags. Das value-attribut des <option>-tags gibt den Wert an, der an den Server übergeben wird, falls der Benutzer die entsprechende Option auswählt. Der Text, der unmittelbar auf ein <option>-tag folgt, ist der Text, der für diese Option in der Auswahlliste angezeigt wird. Soll eine bestimmte Option vorausgewählt werden, kann dies mittels eines selected-attributs im <option>-tag geschehen, dem kein Wert zugewiesen wird: <option value="50" selected>. Formulare für Benutzereingaben 59

12 <option>-tags in PHP mit for-schleifen schreiben In diesem Fall verwenden wir PHP, um uns etwas Schreibarbeit zu ersparen: Links Beispiel 4-4: Automatisierte Ausgabe einer Auswahlliste in spendenformular.php <select name="betrag"> <?php for($i = 5; $i < 101; $i = $i + 5) { echo "<option value=\"".$i."\">".$i." \n";?> </select> Die tragende Konstruktion, die uns hier das Leben leichter macht, ist eine so genannte for-schleife. Eine for-schleife setzen Programmierer immer dann ein, wenn ein bestimmter Vorgang mehrfach durchgeführt werden soll und die Anzahl der Durchläufe vorbestimmt ist. In unserem Fall ist der Vorgang die Angabe von Optionen für sämtliche Euro- Beträge von 5 bis 100 Euro als <option>-tags in Schritten von 5 Euro. Das können wir über die Durchlaufanweisungen der for-schleife arrangieren. Diese Durchlaufanweisungen befinden sich in der runden Klammer, die unmittelbar auf den for- Befehl folgt: ($i = 5; $i < 101; $i = $i + 5). Sie bestehen aus drei Teilen, die jeweils durch ein Semikolon getrennt sind. Der erste Teil enthält (gegebenenfalls durch Kommata getrennte) Instruktionen, die auszuführen sind, bevor die Schleife zum ersten Mal durchlaufen wird. Das heißt, der erste Teil legt die Ausgangsbedingungen fest (Initialisierung). In unserem Fall wird eine Variable $i mit dem Wert 5 geladen. $i repräsentiert die Beträge, die wir in die Optionen schreiben wollen. Programmierer nennen $i auch die Schleifenvariable der for-schleife. Im zweiten Teil steht eine Bedingung, die am Anfang jedes Schleifendurchlaufs erfüllt sein muss, damit die Schleife abgearbeitet wird. Um sicherzustellen, dass $i nicht größer als 100 wird, verlangen wir, dass $i kleiner als 101 sein muss, um die Schleife nochmals zu durchlaufen. Wenn die Bedingung nicht erfüllt ist, wird die Schleife übersprungen. Der dritte Teil der Durchlaufanweisungen wird unmittelbar vor dem Ende jedes Schleifendurchlaufs und dem Testen der Bedingung im zweiten Teil ausgeführt. Er besteht aus (gegebenenfalls durch Kommata getrennten) Instruktionen, die meist der Änderung der Index-Variablen dienen. Hier ist das auch so: Der Euro-Betrag in der Index-Variablen $i muss um 5 heraufgesetzt werden. Zu diesem Zweck addieren wir 5 zum gegenwärtigen Wert von $i und speichern das Resultat zurück in die Variable $i. Die Befehle, die bei jedem Schleifendurchlauf ausgeführt werden sollen, kann man auch im dritten Teil innerhalb der runden Klammern unterbringen. Es ist aber üblicher, sie separat in geschweifte Klammern zu schreiben, die unmittelbar auf die run- 60 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

13 Rechts den Klammern mit den Durchlaufanweisungen folgen. Hier ist nur ein einziger Befehl auszuführen, der sich allerdings über zwei Zeilen erstreckt das ist möglich, weil PHP-Strings sich über mehr als eine Zeile ausdehnen dürfen: echo "<option value=\"".$i."\">".$i." \n"; Die meisten Teile dieses echo-kommandos können Sie sich vermutlich erklären. Der auszugebende String ist aus vier Strings zusammengesetzt: "<option value=\"" $i "\">" $i " \n" Im ersten und dritten String könnte Ihnen das Konstrukt \" unbekannt vorkommen. Dabei handelt es sich um eine Backslash-Escape-Sequenz. Eigentlich ist es ganz einfach: Weil ein doppeltes Anführungszeichen das Ende des Strings markieren würde, können wir es nicht so einfach in den String hineinschreiben. Indem wir einen Backslash (Rückwärtsstrich) voranstellen, können wir PHP mitteilen, dass dieses Anführungszeichen zum eigentlichen String gehört. Der zweite und der vierte Strings sind jeweils Kopien der Variablen $i. Beachten Sie, dass wir in den Durchlaufanweisungen der for-schleife zunächst einen numerischen Wert in $i gespeichert haben, ihn nun aber als String verwenden. Dieser nahtlose Übergang zwischen numerischen Werten und ihren entsprechenden Zeichenketten-Repräsentationen ist eine der großen Stärken von PHP. Im fünften String finden sich zwei Konstrukte, die einer Erklärung bedürfen. ist einfach der HTML-Code für das Euro-Symbol. \n fügt einen Zeilenumbruch am Ende des Strings ein. Das ist zwar für die Funktionalität nicht zwingend erforderlich, macht aber die Fehlersuche im HTML-Quelltext erheblich einfacher, wenn Sie sich im Browser den»seitenquelltext anzeigen«lassen: 20 Optionen in einer Zeile wären vermutlich etwas schwer zu lesen. Dateieingabeelemente Auf das <select>-element folgt das Eingabeelement, das dem Benutzer den Upload seines Konterfeis ermöglicht. Hier gibt es eigentlich nichts Besonderes zu entdecken: <input name="spenderfoto" type="file"> Halt! Eine Besonderheit gibt es doch. Wie bereits erwähnt, müssen Sie bei Formularen, die Datei-Uploads ermöglichen sollen, das enctype-attribut im <form>-tag auf multipart/form-data setzen. Wenn Ihr Formular dann eingereicht wird, ist der Umgang mit der Fotodatei auf der Serverseite ebenfalls etwas komplizierter als mit einfachen Eingabedaten. Aber dazu kommen wir noch ausführlich im nächsten Abschnitt dieses Kapitels. Formulare für Benutzereingaben 61

14 Auswahl mit Radio-Buttons Als Nächstes gilt es, den Typ der Kreditkarte festzulegen, über den die Spende abgerechnet werden soll. Das könnte man mit einem <select>-tag machen, so wie beim Spendenbetrag auch. Eine Alternative zum <select>-tag sind die hier verwendeten Radio-Buttons: Links Beispiel 4-5: Radio-Buttons in spendenformular.php <p><b>kreditkartentyp:</b> <input type="radio" name="kartentyp" value="visa">visa <input type="radio" name="kartentyp" value="mastercard">mastercard <input type="radio" name="kartentyp" value="american Express">American Express </p> Radio-Buttons sind nach den Tasten benannt, die Sie vielleicht noch von alten Radios her kennen: Wenn Sie eine Taste in einer Gruppe drücken, springt jede bereits gedrückte Taste in der Gruppe wieder in ihre Ausgangsposition zurück. Das ist bei Radio-Buttons genauso: Wird ein Button angeklickt, verschwinden die Markierungen aller anderen Buttons in derselben Gruppe. Jeder Radio-Button in einer Gruppe ist ein eigenes Eingabeelement und hat damit sein eigenes <input>-tag. Die Gruppierung erfolgt über das name-attribut des Tags: Buttons mit demselben Namen gehören zur selben Gruppe. In unserem Fall haben wir also drei Buttons, die alle zu der Gruppe kartentyp gehören. Über das value- Attribut wird festgelegt, welcher Wert mit dem ausgefüllten Formular unter dem Namen kartentyp an den Server übergeben wird, wenn der entsprechende Button angeklickt ist. Die -Zeichen (Leerzeichen ohne Zeilenumbruch im Browser) sorgen dafür, dass ein gewisser Mindestabstand zwischen den Optionen eingehalten wird. Das nächste Eingabeelement in unserem Formular, also das Feld für die Kreditkartennummer, dürfte Ihnen weitgehend bekannt vorkommen. Neu ist hier lediglich das maxlength-attribut, das die maximale Anzahl Zeichen festlegt, die der Benutzer über den Browser in dieses Feld eingeben kann. Dies ist aber lediglich eine Anweisung an den Browser in dem Skript, das das Formular letztendlich verarbeitet, dürfen Sie sich auf keinen Fall darauf verlassen, dass unter dem Namen kreditkarte auch tatsächlich ein String mit maximal 20 Zeichen zurückgeliefert wird. Ähnliches gilt auch für das Eingabeelement für das Ablaufdatum der Kreditkarte. Checkboxen Sein oder Nichtsein? Das Kästchen zum Anklicken in der Zeile darunter, das über die Veröffentlichung des Spendernamens entscheidet, ist eine so genannte Checkbox, auch Kontrollkästchen genannt: <input type="checkbox" name="oeffentlich" checked> 62 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

15 Rechts Checkboxen stehen für sich und werden nicht wie Radio-Buttons gruppiert. Wie ein Radio-Button kann eine Checkbox mittels value-attribut dem Server unter dem angegebenen Namen einen Wert übertragen, wenn sie angeklickt ist. Ist die Checkbox nicht angeklickt, wird kein Wert übergeben. Das value-attribut kann auch weggelassen werden der Browser überträgt dann den String on bei angeklickter Checkbox. Das checked-attribut sorgt dafür, dass die Checkbox beim Laden des Formulars zunächst angeklickt erscheint. Als letztes Element im Formular verbleibt der Submit-Button die Schaltfläche, auf die der Benutzer klicken soll, um das Formular an den Server zur Bearbeitung zu schicken: <input type="submit" value="spende abschicken!"> Das value-attribut kontrolliert in diesem Fall die Beschriftung des Buttons. So, damit kennen Sie nun schon fast alle wichtigen Eingabeelemente, die HTML zur Verfügung stellt. In Tabelle 4-1 sind sie noch einmal zusammengefasst: Tabelle 4-1: Wichtige HTML-Tags zur Formulareingabe Tag <input type="text"> <input type="hidden"> <textarea> Wichtige Attribute Bedeutung Anmerkungen name, id, value, size, maxlength name, id, value name, id, rows, cols Texteingabefeld, einzeilig Verstecktes Eingabefeld Textfeld Wert wird über value-attribut vom Server oder über JavaScript vom Browser gesetzt. Default-Wert wird zwischen öffnendes und abschließendes Tag gesetzt. <select> name, id Auswahlliste Enthält <option>-tags mit Optionen. <option> value, selected Option in Auswahlliste <input type="file"> name, id Dateiauswahlfeld für Uploads <input type="radio"> name, id, value, checked Radio-Button <input type="checkbox"> name, id, Checkbox value, checked <input type="submit"> value Button zum Absenden des Formulars Angezeigter Wert wird hinter das Tag geschrieben. Default-Wert kann nicht gesetzt werden; <form>-tag braucht enctype="multipart/formdata". Radio-Buttons gruppieren sich über das gemeinsame name-attribut. Bei unmarkierter Checkbox wird nichts zum Server übertragen. value-attribut kontrolliert die Beschriftung. Damit können wir nun Daten an unseren Server schicken. Sehen wir uns also an, wie der Server auf die Eingabedaten reagieren kann. Formulare für Benutzereingaben 63

16 Probieren Sie s selbst! Mit den oben besprochenen HTML-Formularelementen können Sie unser Formular etwas erweitern. Wie wäre es, wenn Sie noch ein Textfeld für den Namen hinzufügen, der auf der Kreditkarte angegeben ist? Außerdem könnten wir Spender zu Mehrfachspenden animieren, wenn wir eine Auswahlliste hätten, auf der der edle Spender auswählen kann, wie häufig gespendet werden soll: einmal (alle 0 Tage), wöchentlich (alle 7 Tage), monatlich (alle 30 Tage), vierteljährlich (alle 90 Tage) oder jährlich (alle 365 Tage). Die Lösung finden Sie in der Datei spendenformular- Erweitert.php in den Online-Beispielen zu diesem Kapitel. Links Formulardatenverarbeitung durch PHP-Skripte Sobald der Benutzer Ihr Formular ausgefüllt und auf den Submit-Button (oder wie immer Sie ihn beschriftet haben) geklickt hat, werden die Formulardaten an das im action-attribut des <form>-tags angegebene Skript geschickt. Der Wert des action- Attributs wird vom Browser als URL (Webadresse) interpretiert. Falls weder Protokoll noch Server angegeben ist, so wie in unserem Fall, geht der Browser davon aus, dass HTTP zu verwenden ist und dass das Skript auf demselben Server liegt wie das Dokument, das das Formular enthält. Fremdformulare Vorsicht, Falle! Durch die Verwendung des URL-Formats im action-attribut ergibt sich, dass es auch möglich ist, die Daten an ein Skript zu schicken, das auf einem anderen Server liegt. Das kann unter Umständen ganz erwünscht sein beispielsweise können Sie auf Ihrer Homepage ein Eingabeformular für die Suchfunktion einer bekannten Suchmaschine unterbringen, das nach dem Ausfüllen an diese geschickt wird. Als PHP-Autor (oder ASP-, JSP-, CGI-Autor usw.) ergibt sich für Sie damit allerdings auch ein Problem, das oft übersehen wird: Wer garantiert Ihnen eigentlich, dass die Daten, die Ihr Skript bekommt, auch tatsächlich von dem Formular stammen, das Sie für diesen Zweck geschrieben haben? Die Antwort: niemand! Wieso ist das ein Problem? Nun, PHP-Programmierer für Vogelschutz haben oft zunächst einmal den kreuzbraven Konfirmanden von nebenan im Sinn, der einen Teil seines Taschengelds zur Erhaltung eines Reservats spenden will. Der kriminelle Hacker, der an die Kreditkartendaten der Spender gelangen oder gar unsere Server- Maschine als Angriffsplattform in einer verteilten Denial-of-Service-Attacke auf andere Server nutzen will, ist als Zielgruppe vermutlich gedanklich nicht präsent. Da im Internet aber beide Spezies in ausreichender Zahl vorhanden sind und sich zumindest im Prinzip beide für Ihr Skript interessieren, ist Vorsicht angebracht. Ein Skript, das absichtlich mit falschen Daten gefüttert wird, kann unter Umständen: 64 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

17 Rechts Ihre Datenbank mit inkonsistenten Daten füllen und dadurch korrumpieren Daten Ihrer Datenbank Unbefugten zum Lesen oder sogar zum Verändern oder Löschen öffnen, möglicherweise sogar, ohne dass Sie es bemerken s über Ihren Server verschicken, die eventuell vertrauliche Systemdaten oder andere vertrauliche Dateien oder Daten enthalten Programme auf Ihrem Server ausführen und unter Umständen sogar installieren Ihre Webseite ganz oder teilweise durch Inhalte ersetzen, die der Hacker vorgibt Ihren Server in die Knie zwingen Ihnen den Zugang zu Ihren eigenen Daten versperren Dieses Problem ist übrigens nicht PHP-spezifisch, es betrifft alle Web-Technologien, die an der Schnittstelle zwischen benutzervorgegebenen Daten und der Intimsphäre des Servers sitzen, also auch CGI, Active Server Pages, Java Server Pages, mod_perl, Servlets usw. Entsprechend groß ist die Anzahl der Server, die durch Sicherheitslücken in Skripten»geknackt«worden sind. Viele dieser Angriffe gehen auf das Konto von CGI- Skripten mit bekannten Sicherheitsproblemen, die z.t. in den Distributionen von bekannten Webservern enthalten waren. Es bedarf keines hochbegabten Hackers, um Internetadressen und Webserver nach dem Vorhandensein dieser (oft von den eigentlichen Benutzern nicht verwendeten) Skripte abzusuchen. Ähnlich verhält es sich mit einer ganzen Reihe von Skripten, die kostenlos zum Download angeboten werden. Wie kommt es zu solchen Sicherheitslücken, die auch»alte Hasen«oft nicht erkennen? Dafür gibt es hauptsächlich zwei Gründe: Erstens, Programmierer sind traditionell darauf aus, etwas»zum Laufen zu bekommen«. Deshalb achten sie bevorzugt darauf, dass ein Programm das macht, was es soll. Der Aspekt, dass ein Programm nicht machen darf, was es nicht machen sollte, ist meist eher zweitrangig (die wenigsten Programmierer werden dafür bezahlt, dass ihr Programm etwas nicht macht). Der zweite Grund besteht in der hohen Komplexität moderner Programmiersprachen: Manche Befehle können sich unter»unvorhergesehenen«eingabebedingungen komplett anders verhalten, als ein Programmierer dies beabsichtigt. Diese Warnung sollte Ihnen aber jetzt keinesfalls den Mut nehmen, selbst Hand an die PHP-Programmierung zu legen. Im Gegenteil: Nun, da Ihre Aufmerksamkeit geweckt ist, werden wir an den entsprechenden Stellen sicherheitsrelevante Fragen stellen und auf Gefahren und ihre Vermeidung aufmerksam machen. Das sollte Ihren Blick genügend schärfen, um typische Anfängerfehler vermeiden zu können und Ihre Skripte ausreichend sicher zu halten. Formulardatenverarbeitung durch PHP-Skripte 65

18 Links Apropos Anfängerfehler: Eine Sammlung häufig wiederkehrender Sicherheitsfragen rund um Server und Skripte finden Sie in der WWW-Security-FAQ von Lincoln Stein und John Stewart unter Datenübergabe an das Skript und Überprüfung der Daten Ihr Benutzer hat also Ihr Formular ausgefüllt und schickt es von seinem Browser an Ihren Server. Idealerweise sollten jetzt zwei Dinge passieren: Die Daten sollten in einer geeigneten Datenbank abgelegt werden, und dem Browser des Benutzers sollte eine Bestätigung der Eingabe zugesandt werden. Egal ob Sie Formulardaten in einer Datenbank speichern wollen oder ob Sie sie nur zur Erzeugung einer Webseite benötigen: Sie müssen diese Daten in Ihrem Skript zur Verfügung haben. Wie Sie die Daten in Ihre Datenbank bekommen, besprechen wir in Kapitel 6. In diesem Abschnitt sehen wir uns zunächst an, wie Sie in Ihrem Skript auf die vom Browser gesendeten Daten zugreifen können, wie Sie diese auf Plausibilität prüfen und wie Sie dem Benutzer Rückmeldung über seine Eingaben bzw. Fehleingaben geben können. In Abbildung 4-3 sehen Sie, wie eine Rückmeldung unseres Skripts an den (fiktive) Benutzer des Spendenformulars aussieht. Abbildung 4-3: Die von spende.php versandte Spendenbestätigung Damit ist es jetzt höchste Zeit, uns den Skriptcode in spende.php anzusehen: Beispiel 4-6: Der Code von spende.php <?php // Dieses Skript empfängt die Daten des Spendenformulars. 66 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

19 Rechts Beispiel 4-6: Der Code von spende.php (Fortsetzung) // Die Daten werden überprüft und dem Benutzer zur Bestätigung angezeigt. $hack = false; // Diese Boolsche Variable zeigt an, // ob ein Benutzer inkorrekte Daten eingegeben hat // - das könnte sogar ein Hacking-Versuch sein. // Daten der Bequemlichkeit wegen aus $_POST auslesen: $spendername = $_POST["spenderName"]; $adresse = $_POST["adresse"]; $betrag = $_POST["betrag"]; $kartentyp = $_POST["kartenTyp"]; $kreditkarte = $_POST["kreditKarte"]; $ablaufdatum = $_POST["ablaufDatum"]; $oeffentlich = $_POST["oeffentlich"]; $ausgabezeit = $_POST["ausgabeZeit"]; // Überprüfung der Daten: // $spendername kann ein beliebiger String sein, aber er sollte nicht leer sein! if ($spendername == "") { $hack = true; $feld = "Name"; // $adresse kann auch ein beliebiger nicht-leerer String sein: if ($adresse == "") { $hack = true; $feld = "Adresse"; // Der Betrag muss eine ganze Zahl zwischen 5 und 100 sein: if (!preg_match("/^\d*[05]$/", $betrag)) { // nicht durch 5 teilbar? $hack = true; $feld = "Betrag"; if (($betrag < 5) ($betrag > 100)) { $hack = true; $feld = "Betrag"; // Der Kartentyp sollte Visa oder Mastercard sein: switch ($kartentyp) { case "Visa": break; case "Mastercard": break; default: $hack = true; $feld = "Kartentyp"; // Die Kartennummer sollte aus 15 oder 16 Ziffern bestehen, // die durch nichts, ein Leerzeichen oder einen Bindestrich getrennt sind: if (!preg_match("/^(\d[\s\-]?){15,16$/", $kreditkarte)) { $hack = true; $feld = "Kartennummer"; // Das Ablaufdatum sollte aus vier Ziffern bestehen, wobei die ersten beiden // zwischen 01 und 12 liegen sollten, die dritte (noch) eine 0 sein sollte // und die vierte jetzt zwischen 4 und 9 liegen sollte (es sei denn, die Karte // läuft nach 2009 ab, was im Moment noch unwahrscheinlich ist): if (!preg_match("/^(\d{2)0[4-9]$/", $ablaufdatum, $match)) { $hack = true; $feld = "Kreditkarten-Ablaufdatum"; Formulardatenverarbeitung durch PHP-Skripte 67

20 Beispiel 4-6: Der Code von spende.php (Fortsetzung) else { if (($match[1] < 1) ($match[1] > 12)) { $hack = true; $feld = "Kreditkarten-Ablaufdatum"; // Die Checkbox ist entweder leer, "on", oder jemand versucht zu hacken: if (($oeffentlich!= "") && ($oeffentlich!= "on")) { $hack = true; $feld = "Öffentliche Spende"; // Die Formularausgabezeit muss eine ganze Zahl sein: if (!preg_match("/^\d+$/", $ausgabezeit)) { $hack = true; $feld = "Formularausgabezeit"; // Wurde ein Foto geschickt? if ($_FILES["spenderFoto"]["size"] > 0) { $foto = true; preg_match("/(\.\w+)$/", $_FILES["spenderFoto"]["name"],$match); $typ = $match[1]; // Wir erlauben nur Erweiterungen von Bilddateien, damit die Leute // stattdessen keine PHP-Skripte einschmuggeln können. if (in_array( strtolower($typ), array(".gif",".bmp",".jpg",".png",".jpeg"))) { $dateiname = uniqid("").$typ; $bildpfad = preg_replace("/\/[^\/]+$/","", $_SERVER["SCRIPT_FILENAME"])."/Bilder/"; copy($_files["spenderfoto"]["tmp_name"], $bildpfad.$dateiname); else { $foto = false; Links // Bei inkorrekten Eingaben eine Fehlermeldung anzeigen: if ($hack) {?> <?php <html> <body> <h1>eingabefehler</h1> Ihre Eingabe im Feld <b><?php echo $feld;?></b> war inkorrekt. </body> </html> 68 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

21 Rechts Beispiel 4-6: Der Code von spende.php (Fortsetzung) exit(); // Skript beenden! // An diesem Punkt fügen wir später den Code ein, der die // überprüften Daten in die Datenbank schreibt. // Daten zur Bestätigung an den Benutzer ausgeben:?> <html> <body> <h1>liebe(r) <?php echo $spendername;?></h1> <p>haben Sie vielen Dank für Ihre Spende über <?php echo $betrag;?>. Eine Spendenquittung schicken wir an Ihre Adresse:</p> <p><b><?php echo stripslashes(preg_replace("/\r?\n/","<br>", $adresse));?></b></p> <p>die Spende wird von Ihrer <b><?php echo $kartentyp;?></b>-kreditkarte mit Nummer:</p> <p><b><?php echo $kreditkarte;?></b> gültig bis <b><?php echo $ablaufdatum;?></b> abgebucht.</p> <?php if ($foto) {?> <p>ihr Foto sehen Sie hier:<br> <img src="<?php echo "Bilder/".$dateiName;?>"></p> <?php?> <p>wir nehmen zur Kenntnis, dass wir Ihren Namen <?php if ($oeffentlich == "") { echo "nicht";?> veröffentlichen dürfen.</p> <p>sie haben <?php echo (time() - $ausgabezeit);?> Sekunden zum Ausfüllen unseres Formulars gebraucht</p>. </body> </html> Wie Sie sehen können, ist dieser Code ziemlich umfangreich, deswegen werden wir ihn uns Schritt für Schritt ansehen. Als erste Amtshandlung definieren wir eine Variable namens $hack, die den Booleschen Wahrheitswert false zugewiesen bekommt. Damit legen wir fest, dass wir zu Beginn der Skriptausführung keinen Hinweis darauf haben, dass eine (absichtliche oder unabsichtliche) Fehleingabe des Benutzers vorliegt. Sobald wir einer solchen Fehleingabe auf die Spur kommen, werden wir die Variable auf true setzen, um anzuzeigen, dass ein Problem vorliegt. Wenn die Variable nach Überprüfung aller Formulardaten immer noch auf false steht, wissen wir, dass es kein erkennbares Problem gegeben hat. Formulardatenverarbeitung durch PHP-Skripte 69

22 Die einfachen Formulardaten, die wir mittels eines HTTP-Requests mit der POST- Methode an das Skript geschickt haben, finden sich in einem globalen assoziativen Array namens $_POST, das PHP automatisch zur Verfügung stellt. Links In PHP-Versionen vor 4.10 gibt es $_POST noch nicht. Wenn Sie eine niedrigere Version einsetzen, gibt es ein äquivalentes Array namens $HTTP_POST_VARS, das aber nur bei entsprechender (Default-)Konfiguration (track_vars on in der Konfigurationsdatei php.ini) zur Verfügung steht. Wir kopieren die Daten zunächst in»handlichere«einfache Variablen um: $spendername = $_POST["spenderName"]; $adresse = $_POST["adresse"]; $betrag = $_POST["betrag"]; $kartentyp = $_POST["kartenTyp"]; $kreditkarte = $_POST["kreditKarte"]; $ablaufdatum = $_POST["ablaufDatum"]; $oeffentlich = $_POST["oeffentlich"]; $ausgabezeit = $_POST["ausgabeZeit"]; Die Schlüsselwerte für das assoziative Array entsprechen hier den Namen der Eingabeelemente in unserem Formular, die dort jeweils im name-attribut des entsprechenden Eingabeelements definiert sind. Sie werden vielleicht bemerkt haben, dass die Daten für die optionale Bilddatei hier nicht auftauchen. Dateien, die an den Server geschickt werden, werden unter PHP etwas anders behandelt, wie wir gleich sehen werden. Zunächst einmal ist es aber gute Praxis, sich die Eingabedaten genauer anzusehen. Das ermöglicht Ihnen erstens, dem Benutzer bei Fehleingaben entsprechend Bescheid geben zu können. Zweitens macht es potenziellen Hackern das Leben etwas schwerer, weil ungewöhnliche Eingaben wahrscheinlich abgelehnt werden. Überprüfung von Namenseingaben Die genauen Prüfungen, denen Sie die Eingabedaten unterziehen, hängen in der Regel von Ihren Erwartungen an die Daten ab. In einigen Fällen ist es recht einfach, z.b. weil es so viele unterschiedliche zulässige Eingaben gibt, dass es am besten ist, fast alles zuzulassen. Bei Namen und Adressen beispielsweise können fast alle Zeichen vorkommen. Deshalb ist es oft besser, nur darauf zu bestehen, dass die entsprechende Zeichenkette nicht leer ist, wie hier im Fall des Spendernamens: if ($spendername == "") { $hack = true; $feld = "Name"; Die gleiche Prüfung wird auch für die Adresse ausgeführt. Die hier zur Prüfung verwendeten Konstrukte sind sogenannte if-statements. In PHP bestehen sie aus dem reservierten Wort if, einer Bedingung in runden Klammern und einer oder mehre- 70 Kapitel 4: Einstieg in die Programmierung: Einfache PHP-Skripte

23 Rechts ren PHP-Anweisungen in geschweiften Klammern. Wenn die Bedingung erfüllt ist, werden die Anweisungen in den geschweiften Klammern ausgeführt, wenn nicht, übergeht PHP diese Anweisungen. In unserem konkreten Fall bedeutet das, dass die Variable $spendername (und damit die aus dem Eingabeelement spendername an den Server geschickten Daten) leer sein muss, damit die Bedingung erfüllt ist: $spendername muss gleich dem leeren String sein, der durch zwei einfache ('') oder zwei doppelte ("") Anführungszeichen ausgedrückt wird. Beachten Sie auch, dass die»gleichheit«zweier Ausdrücke in PHP durch ein doppeltes Gleichheitszeichen (==) ausgedrückt wird. Dadurch ist eine klare Unterscheidung zu Wertzuweisungsbefehlen gegeben, wie sie z.b. hier in den geschweiften Klammern verwendet werden. Bedingungen und Vergleichsoperatoren Jetzt ist uns schon zum zweiten Mal eine Bedingung begegnet erinnern Sie sich noch an die for-schleife im letzten Abschnitt, die uns die <option>-tags für den Spendenbetrag an den Browser ausgab? Dort stand in der for-schleife ebenfalls eine Bedingung, die darüber entschied, ob die for-schleife ein weiteres Mal durchlaufen wurde oder nicht. Bedingungen können in PHP an allen möglichen Stellen vorkommen, nicht nur in for- oder if-statements. Höchste Zeit also, dass wir uns ansehen, wie wir eine Bedingung formulieren. Eine Bedingung ist ein Ausdruck, der von PHP entweder als true (wahr) oder als false (falsch) ausgewertet wird. Als false betrachtet PHP außerdem leere Strings, den numerischen Wert 0 sowie leere Arrays. Alle anderen Zahlen, Zeichenketten und Arrays wertet PHP als true. Da sowohl die Werte true als auch false in PHP-Variablen gespeichert werden können, kann eine Bedingung beispielsweise auch aus einer PHP-Variablen bestehen. In der folgenden Zeile wird z.b. immer "Hallo" ausgegeben: $x = true; if ($x) { echo "Hallo!"; Ebenso können diese Werte der Rückgabewert einer Funktion sein, so dass eine Funktion auch als Bedingung herhalten kann. Ein Beispiel dafür ist preg_match() in diesem Kapitel. Sehr oft findet man aber noch eine dritte Variante von Bedingungen: Vergleiche. In diesem Fall (wie z.b. bei der Überprüfung des Spendernamens) vergleichen wir einen Ausdruck (hier den übergebenen Spendernamen) mit einem zweiten Ausdruck (in unserem Fall dem leeren String ""). Für den Vergleich benutzen wir den Operator ==. Es gibt aber noch andere Operatoren, die zu solchen Vergleichen verwendet werden können. Einen haben Sie schon in unserem Spendenformular kennen gelernt, den»kleiner als«-operator < nämlich. Formulardatenverarbeitung durch PHP-Skripte 71