如何通过$_GET预填充HTML表单 简化PHP表单数据回填逻辑

现有实现的问题 #

• 逻辑可运行，但不符合安全规范：直接输出未转义的$_GET参数到HTML属性中，存在XSS跨站脚本攻击风险，恶意用户可以构造特殊参数植入恶意代码，窃取其他用户信息或者篡改页面内容。
• 写法冗余，重复写了两次相同的input标签，后续如果要修改字段属性需要同步改两处，维护成本高。

简化且符合规范的实现方案 #

可以用PHP三元运算符+短输出标签简化写法，同时增加htmlspecialchars()做HTML实体转义，保证安全性，代码如下：

<form action="includes/signup.inc.php" method="POST" id="signUpForm">
    <input type="text" name="uid" placeholder="Username" value="<?= isset($_GET['uid']) ? htmlspecialchars($_GET['uid']) : '' ?>">
    <button type="submit" name="signup-submit">Sign Up</button>
</form>

说明：

• <?= ?>是PHP原生支持的短输出语法，PHP 5.4及以上版本默认开启，等效于<?php echo ?>，可以大幅简化模板内的输出逻辑。
• htmlspecialchars()会自动把参数中的引号、尖括号等特殊字符转义为对应的HTML实体，避免注入漏洞，是表单预填充场景下的必填安全处理步骤。

多字段场景的优化方案 #

如果需要预填充的表单项很多，可以提前封装一个公共辅助函数，避免每个字段重复写判断和转义逻辑：

<?php
// 封装的公共函数，可以放在全局公共引入文件中
function get_old_input(string $field_name, string $default = ''): string
{
    return isset($_GET[$field_name]) ? htmlspecialchars($_GET[$field_name]) : $default;
}
?>

<!-- 表单中直接调用函数即可，扩展邮箱、手机号等字段都非常方便 -->
<form action="includes/signup.inc.php" method="POST" id="signUpForm">
    <input type="text" name="uid" placeholder="用户名" value="<?= get_old_input('uid') ?>">
    <input type="email" name="email" placeholder="邮箱" value="<?= get_old_input('email') ?>">
    <input type="tel" name="phone" placeholder="手机号" value="<?= get_old_input('phone') ?>">
    <button type="submit" name="signup-submit">注册</button>
</form>

内容的提问来源于stack exchange，提问作者Mike Kohlberg