问题分析：为何数据会被覆盖？

在传统的php表单处理中，每次http请求都是独立的。当用户提交表单时，php脚本会从头开始执行。如果我们在脚本中定义一个空数组并尝试向其添加数据，那么在下一次表单提交时，这个数组会再次被初始化为空，导致之前添加的所有数据丢失。

以最初的代码为例：

$a";
}
?>

这段代码的问题在于 $artist = array(); 这一行。每次用户提交新的艺术家名称时，PHP脚本都会重新运行，并将 $artist 变量再次设置为一个空数组。这意味着无论之前添加了多少个艺术家，它们都会在新请求开始时被清空，只有当前提交的艺术家会被添加到这个新创建的空数组中并显示出来。

解决方案：PHP会话（Session）机制

为了解决数据在多次请求之间无法持久化的问题，我们可以利用PHP的会话（Session）机制。PHP会话允许开发者在用户的多个页面请求之间存储数据。当一个会话启动时，PHP会在服务器上创建一个唯一的会话文件或存储区域，并通过一个会话ID（通常存储在用户的Cookie中）来识别该用户。所有存储在 $_SESSION 超全局变量中的数据都将在这个会话生命周期内保持可用。

通过将会话数组存储在 $_SESSION 中，我们可以在用户每次提交表单时，向这个持久化的数组中添加新数据，而不是每次都创建一个新的空数组。

立即学习“PHP免费学习笔记（深入）”；

PHP经典实例(第二版)

PHP经典实例（第2版）能够为您节省宝贵的Web开发时间。有了这些针对真实问题的解决方案放在手边，大多数编程难题都会迎刃而解。《PHP经典实例(第2版)》将PHP的特性与经典实例丛书的独特形式组合到一起，足以帮您成功地构建跨浏览器的Web应用程序。在这个修订版中，您可以更加方便地找到各种编程问题的解决方案，《PHP经典实例(第2版)》中内容涵盖了：表单处理；Session管理；数据库交互；使用We

下载

实现步骤与代码示例

以下是使用PHP会话来解决此问题的完整代码示例：

    
    
    
    


    
我的最爱艺术家

    

        
请输入您最爱的艺术家
        
        
    

    已提交的艺术家列表:";
        echo "
";
        foreach ($_SESSION['artist'] as $a) {
            echo "
" . htmlspecialchars($a) . "
"; // 输出时再次进行HTML实体转义，防止XSS
        }
        echo "
";
    } else {
        echo "
当前没有提交的艺术家。
";
    }
    ?>

代码解析

1. session_start();: 这是最关键的一步，必须在任何HTML输出之前调用。它会启动一个新的会话或恢复一个现有的会话，并使 $_SESSION 超全局变量可用。
2. if (isset($_POST['artist']) && !empty(trim($_POST['artist']))): 在处理表单数据之前，我们首先检查 $_POST['artist'] 是否存在（即表单是否已提交），并且其值在去除空白字符后是否不为空。这是一种良好的输入验证实践。
3. $art = htmlspecialchars(trim($_POST['artist']));: 对用户输入进行清理。trim() 函数用于移除字符串两端的空白字符，htmlspecialchars() 函数则将特殊字符转换为HTML实体，这对于防止跨站脚本攻击（XSS）至关重要。
4. if (!isset($_SESSION['artist']) || !is_array($_SESSION['artist'])) { $_SESSION['artist'] = array(); }: 这一步确保 $_SESSION['artist'] 存在且是一个数组。如果用户是第一次访问页面，或者会话中还没有这个键，它就会被初始化为一个空数组。这样可以避免在尝试 array_push 时出现错误。
5. array_push($_SESSION['artist'], $art);: 将经过清理的用户输入添加到 $_SESSION['artist'] 数组中。由于 $_SESSION 是持久化的，这个数组会在用户下次提交表单时仍然存在，新的数据会追加到现有数据的后面。
6. 显示艺术家列表: 最后，我们检查 $_SESSION['artist'] 是否不为空。如果存在数据，就遍历并显示所有存储的艺术家。同样，在输出到页面时，再次使用 htmlspecialchars() 来确保安全性。

注意事项与最佳实践

• session_start() 的位置: 务必将其放在脚本的最顶部，在任何HTML或其他输出之前。否则，PHP会报错。
• 输入验证与清理: 始终对用户输入进行验证和清理。除了 trim() 和 htmlspecialchars()，根据实际需求，可能还需要进行更复杂的验证，例如数据类型检查、长度限制、正则表达式匹配等。
• 输出转义: 在将任何用户提供的数据输出到HTML页面时，都应该使用 htmlspecialchars() 或 htmlentities() 进行转义，以防止XSS攻击。
• 会话安全:
  • 会话劫持: 确保您的服务器配置安全，例如使用HTTPS来加密会话ID的传输。
  • 会话固定: 避免在用户登录前后使用相同的会话ID。PHP的 session_regenerate_id() 函数可以在用户登录后生成新的会话ID，提高安全性。
• 会话销毁: 当用户登出或会话不再需要时，应该销毁会话数据，例如使用 session_unset() 清除 $_SESSION 中的所有变量，然后使用 session_destroy() 销毁会话文件。
• 用户体验: 可以考虑在提交成功后清除表单输入框的内容，或者显示一个确认消息。

总结

通过巧妙地利用PHP的会话机制，我们成功解决了表单提交中数组值被覆盖的问题，实现了跨请求的数据持久化。这种方法不仅适用于存储简单的字符串数组，也适用于存储更复杂的用户数据结构。理解并正确应用会话管理是构建动态、交互式Web应用程序的关键一环，同时结合输入验证和输出转义等安全实践，能够确保应用程序的健壮性和安全性。