HTML required与PHP empty()表单必填校验的差异及优劣对比

一、HTML required属性的优劣势 #

优点

• 即时反馈：用户点提交前就能看到浏览器原生提示，不用等后端响应，体验流畅
• 零成本实现：不用写额外代码，给表单元素加个required属性就行
• 原生适配：提示样式和交互都是浏览器自带的，符合用户日常使用习惯，不用自己折腾弹窗

缺点

• 完全无安全性：懂点技术的用户随便打开浏览器控制台删掉required属性，或者直接用工具发空请求，分分钟绕过校验
• 校验能力有限：只能判断字段有没有填内容，没法做复杂校验（比如邮箱格式、手机号规则）
• 兼容性坑：老浏览器比如IE9及以下根本不认这个属性，直接跳过校验

二、PHP empty()校验的优劣势 #

优点

• 安全靠谱：校验在后端服务器执行，用户碰不到，能真正拦住空数据提交
• 扩展性强：除了empty()，还能搭配trim()、filter_var()这些函数做更复杂的规则校验，满足各种业务需求
• 全兼容：不管前端用什么浏览器，后端校验都能生效，不会因为前端环境掉链子

缺点

• 反馈滞后：用户填完点提交，得等后端处理完才知道错了，还要跳回表单页面，体验不如前端即时
• 实现稍复杂：要写后端逻辑判断错误，还要把错误信息带回前端展示，可能得用到会话（比如$_SESSION存错误提示）
• 额外服务器开销：每次提交都要后端处理，比纯前端校验多了一次请求

三、最优方案：两者结合 #

别纠结选哪个，直接前后端校验一起上：

• 前端用required做即时校验，给用户流畅的反馈，减少无效的后端请求
• 后端用比empty()更严谨的逻辑（比如isset($_POST['field']) && trim($_POST['field']) !== ''，因为empty()会把0、'0'这类合法值也判定为空）做最终校验，彻底拦住非法数据

举个简单例子：
前端表单代码：

<form method="post" action="submit.php">
  <input type="text" name="username" required placeholder="请输入用户名">
  <button type="submit">提交</button>
</form>

后端submit.php代码：

<?php
session_start();
$errors = [];

// 严谨校验用户名是否存在且不为空
if (!isset($_POST['username']) || trim($_POST['username']) === '') {
  $errors[] = '用户名不能为空';
}

// 如果有错误，存到会话里跳回表单页
if (!empty($errors)) {
  $_SESSION['errors'] = $errors;
  header('Location: form.php');
  exit;
}

// 这里处理合法的表单数据...
?>

内容的提问来源于stack exchange，提问作者Pavee