📝 2.3 · PHP + HTML: formularios, GET, POST y superglobales

🎯 Objetivo del tema

🗺️ Mapa del tema

En el Tema 2.2 aprendiste PHP básico. Ahora viene la parte divertida: conectarlo con HTML. Los formularios son el punto de contacto entre el usuario y tu servidor. Cada campo que llenas, cada botón que presionas, es un dato que viaja del navegador al PHP, y una respuesta que vuelve. Hoy aprenderás cómo funciona ese viaje y cómo hacerlo seguro.

2.3.1 GET vs POST: cuándo usar cada uno

Hay dos formas principales de enviar datos de un formulario al servidor: GET (datos en la URL) y POST (datos en el cuerpo de la petición). Cada uno tiene casos de uso. Equivocarse aquí puede causar problemas de seguridad o de experiencia de usuario.

2.3.2 Los 3 superglobales: $_GET, $_POST, $_REQUEST

PHP tiene variables 'superglobales' que están disponibles en TODAS partes, sin necesidad de 'global'. Las más importantes para formularios son $_GET, $_POST y $_REQUEST. Cada una es un array asociativo con los datos recibidos del cliente.

<?php
// index.php - mismo archivo muestra formulario y procesa

// SIEMPRE verifica si se envió el formulario
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  // $_POST: array con los datos del formulario enviado por POST
  $nombre = $_POST['nombre'] ?? '';
  $email = $_POST['email'] ?? '';
  echo "Recibido: $nombre, $email";
}

// O por URL: http://misitio.com/buscar?q=php
// $_GET: array con los parámetros de la URL
$query = $_GET['q'] ?? '';
echo "Buscando: $query";

// $_REQUEST: combina $_GET, $_POST y $_COOKIE (úsalo con cuidado)
$dato = $_REQUEST['nombre'] ?? '';

// Sanitizar SIEMPRE antes de usar
$nombre_limpio = htmlspecialchars($_POST['nombre'] ?? '', ENT_QUOTES, 'UTF-8');
echo "<p>Bienvenido, $nombre_limpio</p>";
?>

Acceso a datos del formulario en PHP

2.3.3 El patrón POST-Redirect-GET

Si después de procesar un POST muestras el resultado directamente, al usuario le aparece un mensaje de 'confirmación de reenvío del formulario' cada vez que recarga la página. La solución profesional: redirigir a una URL GET después del POST. Es el patrón PRG (Post-Redirect-Get).

<?php
// MAL: muestra el resultado y la URL sigue siendo procesar.php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  $nombre = $_POST['nombre'];
  // guardar en BD
  echo 'Registro exitoso. Bienvenido, ' . $nombre;
  // Problema: si el usuario recarga, ve '¿Reenviar formulario?'
}

// BIEN: redirige a una URL de éxito (patrón PRG)
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  $nombre = $_POST['nombre'];
  // guardar en BD
  header('Location: exito.php?nombre=' . urlencode($nombre));
  exit;  // SIEMPRE exit después de un header Location
}
?>

<!-- exito.php (URL limpia, GET) -->
<?php
$nombre = htmlspecialchars($_GET['nombre'] ?? 'usuario');
echo "<h1>¡Bienvenido, $nombre!</h1>";
echo "<p>Tu registro fue exitoso. Esta página se puede recargar sin problemas.</p>";
?>

Patrón PRG: POST-Redirect-GET

2.3.4 Validación y sanitización de datos

REGLA DE ORO en PHP: nunca confíes en los datos del usuario. El usuario puede enviar letras donde pides números, un email mal formado, un script malicioso, o 10 MB de datos donde esperabas 10 bytes. Validar y sanitizar NO es opcional: es la base de la seguridad de tu app.

<?php
// El ejemplo completo: validación robusta de un formulario
$errores = [];
$nombre = $email = $edad = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  // 1. LEER (con operador null coalescing para evitar warnings)
  $nombre = trim($_POST['nombre'] ?? '');
  $email = trim($_POST['email'] ?? '');
  $edad = trim($_POST['edad'] ?? '');

  // 2. VALIDAR
  if (empty($nombre)) $errores[] = 'El nombre es obligatorio.';
  elseif (strlen($nombre) < 2) $errores[] = 'El nombre debe tener al menos 2 caracteres.';

  if (empty($email)) $errores[] = 'El email es obligatorio.';
  elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) $errores[] = 'El email no es válido.';

  if (empty($edad)) $errores[] = 'La edad es obligatoria.';
  elseif (!filter_var($edad, FILTER_VALIDATE_INT, ['options' => ['min_range' => 18, 'max_range' => 120]])) {
    $errores[] = 'La edad debe ser un número entre 18 y 120.';
  }

  // 3. Si NO hay errores, procesar
  if (empty($errores)) {
    // Aquí guardarías en la base de datos (lo verás en el Tema 2.4)
    header('Location: exito.php');
    exit;
  }
}

// 4. Si hay errores, mostrarlos Y repoblar el formulario
// El HTML va aquí abajo, con los valores en 'value="<?= htmlspecialchars($nombre) ?>"'
?>

Validación robusta de formulario en PHP

2.3.5 Seguridad: XSS, CSRF, SQL injection (introducción)

Hay 3 ataques que TODO desarrollador web junior debe conocer. No vamos a profundizar (eso es tema de un curso de seguridad), pero sí vas a entender QUÉ son, CÓMO te pueden afectar, y la防御 BÁSICA contra cada uno.

2.3.6 Sintaxis alternativa: mezclar PHP y HTML limpio

Hay dos formas de escribir PHP: la forma tradicional con echo, y la forma moderna con sintaxis corta. La segunda es mucho más legible cuando mezclas PHP con HTML: en vez de echo '<p>$nombre</p>';, usas <p><?= $nombre ?></p>.

<?php
// FORMA TRADICIONAL (funciona pero es fea)
echo '<div class="usuario">';
echo '<h2>' . htmlspecialchars($nombre) . '</h2>';
echo '<p>Email: ' . htmlspecialchars($email) . '</p>';
echo '</div>';

// FORMA MODERNA CON SINTAXIS CORTA (recomendada)
// <?= expresion ?> es equivalente a <?php echo expresion; ?>
?>

<div class="usuario">
  <h2><?= htmlspecialchars($nombre) ?></h2>
  <p>Email: <?= htmlspecialchars($email) ?></p>
  <p>Edad: <?= htmlspecialchars($edad) ?></p>
</div>

<?php if ($usuario['activo']): ?>
  <span class="badge">Activo</span>
<?php else: ?>
  <span class="badge inactivo">Inactivo</span>
<?php endif; ?>

<!-- Sintaxis corta para foreach -->
<?php foreach ($productos as $producto): ?>
  <div class="producto">
    <h3><?= htmlspecialchars($producto['nombre']) ?></h3>
    <p>$<?= number_format($producto['precio'], 2) ?></p>
  </div>
<?php endforeach; ?>

Sintaxis corta PHP + HTML: la forma moderna

📚 Contenido ampliado

Material adicional, referencias externas verificadas y ejemplos extendidos.