Тема 2. Основы PHP

План лекции

Место PHP в цикле запроса

GET /hello.php?name=Анна
          |
          v
     веб-сервер
          |
          v
    PHP runtime -> hello.php
          |
          v
HTTP/1.1 200 OK + HTML

• PHP-код выполняется на сервере
• Скрипт получает данные текущего HTTP-запроса
• Результат выполнения становится телом ответа
• Браузер не получает исходный PHP-код

Минимальная среда разработки

php -v
php -m
mkdir php-basics
cd php-basics
php -S localhost:8000

Структура PHP-файла

<?php
declare(strict_types=1);

$title = 'Основы PHP';
?>
<!doctype html>
<html lang="ru">
<body>
    <h1><?= htmlspecialchars(
        $title,
        ENT_QUOTES | ENT_SUBSTITUTE,
        'UTF-8'
    ) ?></h1>
</body>
</html>

В файле только с PHP-кодом закрывающий тег ?> обычно опускают.

Переменные и значения

$name = 'Анна';
$attempts = 3;
$price = 19.90;
$active = true;
$middleName = null;

$attempts = $attempts + 1;
var_dump($name, $attempts, $middleName);

Основные типы значений

echo get_debug_type($value);

Строки и UTF-8

$name = 'Анна';
$message = "Привет, $name";
$path = 'users/' . $name;

$email = trim("  user@example.com \n");
$bytes = strlen('Привет');
$characters = mb_strlen('Привет', 'UTF-8');

Сравнение и логические условия

$input = '10';

var_dump($input == 10);  // true: с преобразованием
var_dump($input === 10); // false: типы различаются

$role = $_SESSION['role'] ?? 'guest';
$allowed = $active && $role === 'admin';

• === сравнивает значение и тип
• !== проверяет строгое неравенство
• &&, ||, ! объединяют условия
• ?? задает запасное значение для отсутствующего ключа или null
• empty('0') возвращает true, поэтому для проверки формы нужны явные правила

Декларации типов и strict_types

<?php
declare(strict_types=1);

function total(float $price, int $quantity): float
{
    return $price * $quantity;
}

$amount = total(19.90, 3);

Функции отделяют операцию от сценария

function formatPrice(
    float $amount,
    string $currency = 'BYN'
): string {
    if ($amount < 0) {
        throw new InvalidArgumentException(
            'Цена не может быть отрицательной'
        );
    }

    return number_format($amount, 2, '.', ' ')
        . ' ' . $currency;
}

echo formatPrice(19.9);

• Имя функции описывает действие
• Параметры являются входом
• return возвращает результат
• Исключение сообщает о невозможной операции

Массив PHP является упорядоченной картой

$colors = ['красный', 'зеленый', 'синий'];

$student = [
    'name' => 'Иван',
    'group' => 'ИС-31',
    'active' => true,
];

echo $colors[0];
echo $student['name'];

Перебор и отбор элементов

$products = [
    ['name' => 'Книга', 'price' => 25.0],
    ['name' => 'Клавиатура', 'price' => 140.0],
];

foreach ($products as $product) {
    if ($product['price'] <= 100) {
        echo $product['name'] . "\n";
    }
}

• foreach получает очередное значение массива
• Форма foreach ($items as $key => $value) дает ключ и значение
• array_key_exists() проверяет наличие ключа, включая значение null
• isset() возвращает false и для отсутствующего ключа, и для null

Ветвление: if и match

if ($score >= 70) {
    $result = 'зачтено';
} else {
    $result = 'не зачтено';
}

$label = match ($status) {
    'draft' => 'Черновик',
    'published' => 'Опубликовано',
    'archived' => 'Архив',
    default => 'Неизвестный статус',
};

Ошибки во время разработки

php -d display_errors=1 \
    -d error_reporting=E_ALL \
    -S localhost:8000

try {
    echo formatPrice(-10);
} catch (InvalidArgumentException $error) {
    error_log($error->getMessage());
    http_response_code(400);
    echo 'Некорректные данные';
}

• В разработке ошибка должна быть заметна
• В рабочей среде подробности пишут в журнал
• Пользователю возвращают безопасное сообщение
• Пароли, токены и строки подключения не записывают в журнал

Данные текущего запроса

Любое входное значение недоверенное и может иметь неожиданную форму.

HTML-форма задает имена полей

<form method="post" action="/register.php">
    <label>Имя
        <input name="name" required>
    </label>
    <label>Email
        <input name="email" type="email" required>
    </label>
    <button type="submit">Зарегистрироваться</button>
</form>

• method определяет способ отправки
• action задает адрес обработчика
• Только элементы с name попадают в данные формы
• Проверки браузера удобны, но сервер обязан повторить валидацию

Конвейер обработки формы

HTTP-запрос
  -> проверить метод и форму данных
  -> нормализовать и валидировать
  -> выполнить операцию и сохранить
  -> экранировать при выводе
  -> HTTP-ответ

Чтение и проверка POST-данных

$errors = [];
$email = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $emailInput = $_POST['email'] ?? null;

    if (!is_string($emailInput)) {
        $errors['email'] = 'Ожидалась строка';
    } else {
        $email = trim($emailInput);

        if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
            $errors['email'] = 'Укажите корректный email';
        }
    }
}

• Порядок проверок: метод → тип значения → формат email

Экранирование при выводе в HTML

function e(string $value): string
{
    return htmlspecialchars(
        $value,
        ENT_QUOTES | ENT_SUBSTITUTE,
        'UTF-8'
    );
}

<input name="email" value="<?= e($email) ?>">

<?php if (isset($errors['email'])): ?>
    <p class="error"><?= e($errors['email']) ?></p>
<?php endif; ?>

htmlspecialchars() подходит для текста HTML и значений в кавычках, но не для SQL, JavaScript или CSS.

Post/Redirect/Get предотвращает повтор POST

POST /register.php
   |
   | валидация и сохранение
   v
303 See Other
Location: /registered.php
   |
   v
GET /registered.php

Cookies и сессия решают разные задачи

• Cookie может хранить не только ID сессии
• Серверная сессия сама по себе не гарантирует безопасность
• Secure, HttpOnly и SameSite ограничивают использование cookie
• SameSite снижает часть риска CSRF, но не заменяет токен

Жизненный цикл сессии

ini_set('session.use_strict_mode', '1');

$isHttps = !empty($_SERVER['HTTPS'])
    && $_SERVER['HTTPS'] !== 'off';

session_start([
    'cookie_httponly' => true,
    'cookie_secure' => $isHttps,
    'cookie_samesite' => 'Lax',
]);

// Только после успешной проверки логина и пароля
session_regenerate_id(true);
$_SESSION['user_id'] = $userId;

1. session_start() вызывают до вывода ответа.
2. Сервер читает ID и загружает данные сессии.
3. После входа ID заменяют, чтобы снизить риск фиксации сессии.
4. Выход очищает данные, cookie и серверную сессию.

CSRF-токен связывает форму с сессией

$_SESSION['csrf'] ??= bin2hex(random_bytes(32));

<input type="hidden" name="csrf"
       value="<?= e($_SESSION['csrf']) ?>">

$token = $_POST['csrf'] ?? null;

if (!is_string($token)
    || !hash_equals($_SESSION['csrf'], $token)) {
    http_response_code(403);
    exit('Запрос отклонен');
}

CSRF-защита нужна для запросов, которые изменяют состояние.

Подключение к MySQL через PDO

$dsn = 'mysql:host=localhost;dbname=app;charset=utf8mb4';

$pdo = new PDO($dsn, $dbUser, $dbPassword, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES => false,
]);

Подготовленный запрос отделяет SQL от значений

$statement = $pdo->prepare(
    'INSERT INTO users (email, password_hash)
     VALUES (:email, :password_hash)'
);

$statement->execute([
    'email' => $email,
    'password_hash' => $passwordHash,
]);

• Параметры передают значения без конкатенации SQL
• Placeholder нельзя использовать вместо имени таблицы или столбца
• Уникальный индекс на email защищает правило и при гонке запросов
• Транзакция объединяет несколько зависимых изменений
• Пользователю не показывают текст внутренней ошибки БД

Пароли не хранят в открытом виде

$passwordHash = password_hash(
    $password,
    PASSWORD_DEFAULT
);

if (password_verify($password, $passwordHash)) {
    session_regenerate_id(true);
    $_SESSION['user_id'] = $userId;
}

if (password_needs_rehash($passwordHash, PASSWORD_DEFAULT)) {
    // Создать новый хеш после успешной проверки
}

• Поле для хеша должно допускать изменение длины, обычно VARCHAR(255)
• Соль создает password_hash()
• MD5, SHA-1 и обычный SHA-256 не подходят для хранения паролей

Сквозной сценарий регистрации

GET /register.php -> форма + CSRF-токен
          |
          v
POST /register.php
          |
          +-> проверить метод, типы и CSRF
          +-> нормализовать и валидировать поля
          +-> password_hash()
          +-> INSERT через PDO
          +-> session_regenerate_id()
          +-> записать user_id в сессию
          |
          v
303 -> GET /profile.php

Каждый шаг решает одну проверяемую задачу. Пропуск шага создает конкретный дефект.

Связь с лабораторными работами

php -l register.php
curl -i http://localhost:8000/
curl -i -X POST -d "email=user@example.com" \
    http://localhost:8000/register.php

• В отчет включите команды запуска и проверок
• Зафиксируйте успешный сценарий и ошибки валидации
• Не помещайте пароли и секреты в снимки экрана

Резюме

Вопросы для самопроверки: язык PHP

Выполнение и типы

1. Где выполняется PHP-код и что получает браузер?
2. Почему declare(strict_types=1) ставят в начале файла?
3. Можно ли объявить тип обычной локальной переменной?
4. Чем strlen() отличается от mb_strlen()?

Управление кодом

5. Чем === отличается от ==?
6. Когда выбирать if, а когда match?
7. Как устроены индексированные и ассоциативные массивы PHP?
8. Что показывают var_dump() и get_debug_type()?

Вопросы для самопроверки: Web и данные

Формы и состояние

1. Почему сервер повторяет проверку HTML-формы?
2. Чем валидация отличается от экранирования?
3. Почему htmlspecialchars() не защищает SQL-запрос?
4. Что хранится в cookie сессии и что хранится на сервере?
5. Для чего нужны session_regenerate_id() и CSRF-токен?

База данных и вход

6. Как prepared statement защищает структуру SQL?
7. Почему placeholder нельзя подставить вместо имени столбца?
8. Как создать и проверить хеш пароля?
9. Зачем базе нужен уникальный индекс на email?

Полезные ресурсы: язык PHP

Полезные ресурсы: формы и состояние

Полезные ресурсы: база данных и пароли