Antes de começar, é importante eliminar um problema sério de desinformação. Por isso foi necessário adicionar uma introdução sobre configuração de logs do ambiente.
É comum muitos programadores PHP inexperientes resgatarem variáveis diretamente, sem verificar se existe:
$foo = $_POST['foo'];
A justificativa geral é que "funciona" e não causa erro.
Cedo ou tarde, acabam descobrindo que em determinados ambientes funciona e em outros não.
Alguns ambientes exibem mensagem de erro e outros ocultam, o que dificulta ainda mais pois um inexperiente não sabe olhar os logs internos ou mesmo configurá-los para um melhor controle. Tampouco verificam se o ambiente está configurado adequadamente.
O PHP permite ocultar mensagens de erro ou ignorá-los caso não sejam do tipo "fatal error". Todavia, variáveis indefinidas não causam "fatal error" e por isso, aparentemente, não há problemas em acessar diretamente $foo = $_POST['foo'];
.
É nesse ponto onde está o problema.
Mesmo o erro não sendo exibido, internamente o erro ocorre.
Antes de tudo, o programador PHP deve configurar adequadamente o ambiente onde a aplicação será executada.
Para ambiente de desenvolvimento, o famoso "localhost", recomenda-se ativar todas as mensagens de erro e avisos, incluindo avisos estritos e sobre sintaxes e funções em desuso.
Configuração do log de erros
Abaixo, um exemplo prático e simples para configurar o ambiente de log de erros e avisos:
<?php
/**
A constante E_ALL indica que todos os tipos de erros e avisos serão reportados.
*/
ini_set('error_reporting', E_ALL);
/**
true: ativa o log de erros. Permite o uso de 'error_log'. Veja mais abaixo.
false: desativa
*/
ini_set('log_errors',true);
/**
Define o local onde os logs serão registrados.
Recomenda-se o uso de path absoluto.
Exemplo, evite referenciar o caminho para paths relativos como "../folder/log.txt". Defina com um patrh absoluto "/path/absolute/folder/log.txt".
Alguns provedores de hospedagem compartilhada não permitem configurar essa diretiva em tempo de execução.
Para esses casos, deve-se consultar o manual ou suporte do provedor de hospedagem sobre como ler logs de erro.
*/
ini_set('error_log', BASE_DIR . DIRECTORY_SEPARATOR . 'logs' . DS . 'php' . DIRECTORY_SEPARATOR . 'PHP_errors-' . date('Ym') . '.log');
/**
Normalmente não usamos esse recurso em ambiente de desenvolvimento e tampouco em ambiente de produção.
Recomenda-se manter como "false" por questões de performance.
true: ativa
false: desativa
*/
ini_set('html_errors',false);
/**
true: ativa a exibição de erros e avisos
false: desativa
Em ambiente de produção, mantenha como "false". Em ambiente local, como "true".
Note que "display_errors" pode ser desativado pelo provedor de hospedagem. Normalmente, provedores de hospedagem compartilhada configuram como "false" por padrão e impedem a configuração em tempo de execução.
Para esses casos, deve-se consultar o manual ou suporte do provedor de hospedagem sobre como ler logs de erro.
*/
ini_set('display_errors',true);
Esse código acima deve estar no bootstrap do aplicativo, ou seja, um arquivo inicial onde tudo que deve possuir prioridade de execução, deve estar sempre no topo de todos os outros scripts e sempre presente em quaisquer chamadas de scripts.
Esclarecido esse ponto sobre configuração de logs de erros, voltemos ao assunto sobre resgate de variáveis $_GET e $_POST.
Independentemente do ambiente estar bem ou mal configurado, apenas adote um padrão seguro que garanta a integridade de execução do seu aplicativo.
Para isso, adote boas práticas de programação.
Ao invés de acessar diretamente $foo = $_POST['foo'];
, sempre verifique se o índice existe.
if (isset($_POST['foo']))
echo $_POST['foo'];
Uma prática errônea e muito comum, é aplicar a função empty()
ao invés da função isset()
:
if (!empty($_POST['foo']))
echo $_POST['foo'];
Isso é uma má prática pois ocorre o mesmo problema descrito anteriormente onde acessamos diretamente sem verificar se o objeto existe.
Em ambientes mal configurados ou cuja configuração oculte mensagens de erros, dá uma impressão de que não há problema em usar dessa forma.
Outro erro comum é erro de lógica de execução:
$foo = $_POST['foo'];
if (isset($foo))
echo $foo;
Se o índice foo
da variável global $_POST
for inexistente, retornará o erro undefined index
.
Mais uma vez, voltamos ao problema de ambiente mal configurado. Em ambientes que ocultam esse nível de erro, dá uma falsa impressão de que não houve erro.
Nesse caso o erro é bastante óbvio. O PHP executará essa linha $foo = $_POST['foo'];
e independente do que existe nas linhas seguintes, o erro já dispara aqui mesmo. Por isso, não tem sentido algum escrever dessa forma. Isso não se faz no PHP e nem mesmo em outras linguagens pois é ilógico.
Pense nisso como fechar um cadeado e deixar a chave no cadeado. É ilógico e muitas vezes falta de atenção.
Sanitização, Filtragens e MVC
É comum a confusão que fazem entre "verificar se um $_POST existe" e "filtrar os dados recebidos".
A confusão deve-se ao fato da maioria dos novatos não adotarem uma metodologia como o MVC onde as camadas e responsabilidades são bem definidas.
Para evitar desentendimentos e discussões desnecessários é importante salientar que não vamos falar aqui sobre as diversas variantes do MVC pois esse não é o foco. Vamos usar o termo MVC como algo genérico.
A letra M do MVC, refere-se a palavra "model" que representa o "business model". Traduzindo, é o "modelo de negócios".
Uma plataforma sólida e bem construída, permite a livre modelagem do "modelo de negócios".
Pensando nisso que surgiu no mercado os frameworks que conhecemos como o CakePHP, Symfony, ZendFW, Laravel, CodeIgniter e centenas outros.
Utilizando um framework, não precisamos nos preocupar com as funções básicas do mecanismo de um aplicativo. Coisas como resgatar um $_GET e $_POST ficam ocultas, a cargo do mecanismo do framework. Esse mecanismo faz parte da letra C do MVC, representando o "Controller".
Ao fazer um pedido para receber um parâmetro $_GET ou $_POST, o controlador (Controller) não enxerga o business model. Ele simplesmente resgata a requisição.
Para isso usa-se isset()
ou array_key_exists()
ou alguma outra técnica equivalente para evitar o disparo de erros.
O controlador não tem responsabilidade em sanitizar ou filtrar, enfim, não tem responsabilidade nem mesmo de determinar se uma requisição inexistente é válida ou não. A validação fica a cargo do "Model".
Uma vez que o controlador resgatou as variáveis globais, o "Model" as acessa e aplica as filtragens conforme as regras de negócio previamente definidas.
Se uma variável retornou como " 123abc " e o modelo de negócios permtir os espaços, não há por quê remover os espaços no momento do resgate dentro do "Controller". Por isso, é considerado má prática aplicar filtragens "indiscriminadamente" no momento do resgate.
Para entender isso na prática:
if (isset($_POST['foo']))
$foo = trim($_POST['foo']);
if (empty($foo))
echo 'error: foo is empty';
O controller jamais deve tomar tal decisão, pois não é responsabilidade dessa camada fazer as sanitizações ou aplicar validações.
Um erro também comum na atribuição de responsabilidade entre as camadas MVC.
if (!isset($_POST['foo']))
echo 'erro: foo não existe';
Para o controller, se uma requisição existe ou não, é indiferente. Quem deve validar e decidir é o "Model".
Boa parte dos problemas de má práticas referente ao assunto pode ser eliminada pelo uso de MVC, OOP ou simplesmente boas práticas de programação. Mesmo em scripts escritos em forma procedural, sem uso de MVC, é possível organizar os códigos em funções genéricas que podem ser reutilizadas para diversos modelos de negócios.
Questão específica referente a validações
Apenas texto: Nome, profissão, etc;
Apenas números inteiros e mais nada: Número da casa, dias, idade, etc;
Números com pontos e vírgulas: percentuais e valores em dinheiro, etc;
Números com / e -: Datas;
Como mencionado acima, isso é responsabilidade do "Model".
Não existe um "padrão" universal específico pois depende do modelo de negócios.
Vamos pegar como exemplo, um campo para preencher nome.
Há modelos de negócios que permitem nomes que incluam números. Há também também os que possuem um único campo onde o usuário deve ou não incluir nome e sobrenome. Há outros modelos onde o nome deve possuir apenas 1 nome e 1 sobrenome.
Por isso não há uma resposta específica para a questão que fizeste:
Mas qual a forma correta de fazer isso. Neste caso, de receber um nome, qual a forma correta, usar o isset + trim + empty é a melhor forma? > > Mais alguma coisa(!)?
Vamos tomar outro exemplo da lista acima. Valores de datas.
É a mesma situação. Depende do modelo de negócios. O modelo permite datas por extenso? Permite escrever somente o dia e o mês, ou o ano e o mês (cartão de crédito). Pode entrar com datas no passado? Qual o limite? 10 mil anos atrás? 1 milhão de anos atrás? Permite datas futuras? 50 milhões de anos no futuro? Qual o formato permitido? O padrão ISO 8601 somente ou um formato específico do modelo de negócios?
Será convertido em timestamp? Note que timestamp possui limites.
Normalmente não deve-se permitir que o usuário entre com a data livremente. É mais seguro que provenha de campos do tipo select.
E para os valores monetários?
É fácil quando a moeda não é decimal, certo?
Não! Errado! Mesmo moedas de valores inteiros devem ser tratadas como decimais, contudo, depende muito do modelo de negócios. Apesar de que modelo de negócio que trata moeda não decimal como inteira, é um modelo falho.
E quando tratar valores monetários em formato decimal, qual o tamanho ideal de casas decimais? Duas casas? Sete casas?
Deve-se também observar a diferença entre o valor real e o valor formatado para visualização amigável e um não deve sobrescrever o outro pois estamos falando de valores monetários. Uma pequena diferença de 0.0099 dólar faz uma diferença significativa em sistemas bancários onde movimenta-se trilhões por semana. Se o sistema não permtir 4 casas decimais, o valor ficaria em 0.00, ou seja, alguém vai perder dinheiro.. rsrs
Mesmo que não seja uma instituição financeira que movimente trilhões, não importa. O sistema deve ser o mais sólido, o mais confiávelo possível. Íntegro.
Tudo isso é definido no modelo de negócios e, não deve de forma alguma ser tratado no controller.
Isso também responde a respeito do uso de funções de sanitização como o filter_input()
.
funções como trim()
, filter_input()
, strlen()
, mb_strlen()
, empty()
, dentre outras, com o propósito de filtrar os dados recebidos, devem ser aplicados na camada do "Model". Jamais deve-se usar em substituição a verificação da existência de um índice, que é a função do isset()
.
Requisições a valores esperados
Basicamente, quanto a entrada, recebo dois tipos de dados:
pré definidos pelo sistema: por ex.: select, radio; entrados pelo
usuário: text, textarea, datas; Então sei por exemplo que, no primeiro
caso, posso aceitar receber os dados, e usar no script, apenas se ele
for exatamente como espero.
Esta é uma forma de "validar" que dispensa qualquer função, mesmo o
isset? Porque se for sim ou não, é claro que está setada (ou não? :-)
)...
if ($radio === "sim" || "não") {
//faça algo
}
else {
// erro
}
Quando requisita um valor que é esperado, obviamente também deve-se fazer a verificação se o parâmetro existe dentro das variáveis globais.
Também deve-se fazer validação do valor recebido pois nunca deve-se confiar em entradas do usuário. Mesmo em campos do tipo radio ou select, o usuário pode manipular o valor.
Essa forma que apresentou é segura, porém há 2 erros onde um é grave pois retorna resultado errôneo:
$nome = isset($_POST['camporadio']) ? $_POST['camporadio'] : false;
if ($radio === "sim" || "não") {
//faça algo
}
else {
// erro
}
A condição if ($radio === "sim" || "não") {
deveria ser if ($radio == "sim" || $radio == "não") {
.
A forma apresentada causaria erro de lógica: if ($radio === "sim" || "não") {
.
Outro erro é que $radio
não foi definido pois quem recebe o $_POST
é outra variável definida como $nome
.
Mas creio que foi mera distração enquanto digitava a pergunta.
Observação final, achei melhor não falar do antigo "register globals". Esse recurso incomodou muito durante uns 10 anos mas foi removido no PHP 5.4 após muitos anos no modo DEPRECATED
. Hoje em dia é "raro" encontrar alguém que utilize por isso achei irrelevante falar sobre o recurso. Para referências: http://php.net/manual/en/security.globals.php
[Texto adicionado em 2015-10-05]
Diferença entre sanitização e validação
É importante entender a diferença entre sanitização e validação.
Na sanitização remove-se os caracteres desnecessários automaticamente, sem disparar mensagens de erro ou alerta caso o formato final passe pela validação.
A sanitização sempre precede a validação.
Abaixo, exemplos comuns de sanitização:
O usuário entra com o nome em letras minúsculas ou sem um padrão, porém, o sistema deve converter para letras maiúsculas porque o modelo de negócios assim o exige:
José Maria -> JOSÉ MARIA
jose maria -> JOSÉ MARIA
jose Maria -> JOSÉ MARIA
Usuário entra com dados contendo espaços no começo ou no fim. Então o sistema remove os caracteres desnecessários automaticamente, sem disparar mensagens de erro ou alerta
" foo" -> "foo"
" foo " -> "foo"
"foo " -> "foo"
Usuário entra letras num campo numérico. Então o sistema remove e mantém somente os números.
Por fim, as situações são diversas e dependem do modelo de negócios.
A sanitização torna a usabilidade mais amigável e também poupa recursos do servidor, transferência de dados e tempo para ambos os lados, o cliente e o servidor.
Se tratarmos tudo diretamente na validação, sem sanitização, o processo torna-se mais burocrático.
A validação vem após o processo de sanitização. Esse é o último passo para aceitar ou negar um determinado dado.
Vamos ver na prática um exemplo específico de validação de entrada numérica?
Aqui temos uma função que filtra uma string e retorna somente caracteres numéricos.
function NumberOnly($str, $float = false)
{
if (!is_array($str))
{
$a = '';
if ($float)
{
$a = '.';
$str = str_replace( ',', $a, $str );
}
return preg_replace('#[^0-9'.$a.']#', '', mb_convert_kana($str, 'n'));
}
return '';
}
Normalmente, programdores PHP de países de idioma latino ou anglo saxão, não se preocupam com idiomas orientais como os árabes, indianos, chineses, etc.
A função acima possui suporte aos números japoneses no formato "zenkaku". https://en.wikipedia.org/wiki/Language_input_keys
A função mb_convert_kana()
converte caracteres zenkaku para o formato hankaku.
O exemplo abaixo ilustra a diferença entre os formatos:
zenkaku: 123
hankaku: 123
zenkaku: ABC
hankaku: ABC
Se a função não converter para o formato "hankaku", entradas "legítimas" de caracteres numéricos seriam removidas, causando transtorno ao usuário.
Muitos sistemas, mesmo websites japoneses, principalmente os antigos, não fazem a sanitização e pedem explicitamente que o usuário modifique o formato pelas funções do teclado.
Isso é realmente incômodo e cria uma burocracia dificultando a acessibilidade.
O segundo parâmetro é apenas uma flag onde "true" indica que deve permitir o caracter ponto (.) quando deseja permitir números decimais.
Note que a função não valida o formato do número. Pode entrar com um número decimal inválido como 123.4.5.6, porém, isso não é a responsabilidade da sanitização. Isso é responsabilidade da validação.
A função NumberOnly() cumpre até aqui, da forma mais íntegra possível, com o seu papel que é permitir números ou pontos, removendo todo o restante desnecessário.
No passo seguinte entra a validação.
/**
Imprime 123
*/
echo NumberOnly('abc123');
No "Model", deve existir uma regra específica para essa entrada. Com propósito ilustrativo, vamos supor que a regra diz que o número deve ter mínimo de 4 dígitos e máximo de 5.
Nesse caso, a validação retornaria aviso de erro ao usuário pois a entrada sanitizada retorna somente 3 dígitos.