3

Olá, para que o formulário seja validado na mesma página, o que é mais seguro como valor para o atributo 'action' html? Obrigado.

    <form method="post" action="">
    <!--ou-->
    <form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
9
  • 4
    O action é um URL. Tem de ser um valor válido para URL, um destino que o servidor aceite. Não percebo porque usar htmlspecialchars() ou porque pensar que ele não é seguro.
    – Sergio
    26/11/2015 às 20:05
  • Sugiro que você pesquise sobre Jquery + ajax, alem de fazer a mesma coisa, é mais elegante ao usuario, e não precisa dar refresh na pagina;
    – user28595
    26/11/2015 às 20:16
  • 1
    Olá nilson, não está claro qual é sua dúvida. Passando a URL pelo htmlspecialchars o que você está tentando fazer? 26/11/2015 às 20:27
  • O objetivo é que as mensagens de erro, ou de sucesso de envio, permaneçam na mesma página. Mas, parece que devo pesquisar melhor, para evitar o refresh na página, como foi sugerido. Obrigado.
    – Nilson
    26/11/2015 às 20:33
  • 1
    @RafaelMenaBarreto, vou estudar ajax. Eu queria um norte e consegui com a ajuda de vcs, obrigado.
    – Nilson
    26/11/2015 às 23:52

2 Respostas 2

4

Não inventa.

Não é uma questão de qual é melhor, deves saber o que faz cada um.

htmlentities codifica qualquer caractere especial, de modo que não seja possível injectar tags ou algum js.

Deixar o atributo action vazio, faz com que essa página referencie a si mesma. Por isso não desperdices funções usando-as onde não são necessárias, porque o que o PHP_SELF faz, é retornar o nome do ficheiro que está a executar o script, por isso, se não há QUERY_STRING porquê devo eu utilizar o htmlentities ou urlencode ? Simplesmente não deves, porque a principal razão para usa-las, é retornar estes valores no formato certo, para que possam ser usadas sem problemas, isso caso existirem.

Um exemplo disto é:

<?php
    echo '<a href="' . htmlspecialchars("/nextpage.php?stage=23&data=" .
        urlencode($data)) . '">'."\n";
?>

A url contém parâmetros, logo possui caracteres especiais que precisam de ser escapados, mas o que faz o urlencode aí ? Simplesmente faz o que faz, quando ser quer passar o valor de uma variável como parte de uma url, é aí que se torna útil.

Eu diria o que muita gente diz normalmente em situações como esta, usa uma biblioteca js qualquer, ou usa simplesmente o js, e o teu problema desaparece.

Seria fácil pensar assim, devido ao avanço tecnológico até os sites mais simples utilizam javascript, sendo que grande parte dos dispositivos atualmente usados para acessar estes sites possuem também suporte ao javascript. Mas é o que é, javascript pode falhar, uma ou outra vez, e há vezes em que simplesmente alguns preferem não usar, mas isso já é outra perspectiva.

Analisa melhor as tuas prioridades, e procure uma solução que se adeque a ti.

Se quiseres ler mais sobre sobre alguns destes processos, eis algumas páginas que recomendo:

2
  • Obrigado pela sugestão, vou continuar estudando, e quando estiver mais bem preparado, retorna aqui.
    – Nilson
    26/11/2015 às 23:39
  • Experimenta trabalhar com exemplos práticos, é melhor forma entender o comportamento destas funções e atributos.
    – Edilson
    27/11/2015 às 1:00
1

Qualquer valor. A action não influencia em validação por parte de cliente. A validação em página normalmente é feita em JS, e o PHP tem pouco papel nisso.

Neste caso, uma ótima opção é o jQuery Validation. Veja funcionando aqui.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .