Formulaires GET et POST : exercices corrigés de Première NSI

On lit la balise form : l'attribut method vaut POST. Le formulaire utilise donc la méthode POST.¹

L'attribut action vaut traitement.php : c'est le script qui est activé à l'envoi du formulaire.¹

Le champ de texte porte name="prenom". Le script retrouvera la saisie sous le nom prenom, par exemple avec $_POST['prenom'] (et non avec $_GET['prenom']).²

Avec POST, les données sont dans le corps de la requête et pas dans la barre d'adresse : elles sont donc moins visibles qu'avec GET.¹

Situation 1 : on veut que la recherche se retrouve dans l'adresse. GET convient, car il affiche les données saisies directement dans l'URL : copier l'adresse revient à copier la recherche.¹

Situation 2 : un mot de passe ne doit pas s'afficher dans la barre d'adresse. On choisit POST, qui place les données dans le corps de la requête, donc moins visibles.¹

Situation 3 : ce sont des informations personnelles, sans intérêt à figurer dans une adresse. On choisit POST pour la même raison que pour la connexion.¹

On remarque que POST est la méthode souvent utilisée lors du remplissage d'un formulaire, tandis que GET sert quand l'adresse peut sans risque contenir les données.¹

On compte les méthodes citées dans l'énoncé : DELETE, PATCH, GET, TRACE, POST, CONNECT, PUT, HEAD, OPTIONS, soit 9 méthodes.¹

Le formulaire accepte GET ou POST pour la soumission des données : 2 méthodes.²

On retire : 9 - 2 = 7 méthodes ne sont pas utilisables dans l'attribut method du formulaire.

Premier couple : prenom=Lea, soit 10 caractères.

Second couple : la valeur « Aix en Provence » devient Aix+en+Provence, car les espaces sont remplacés par +.² On obtient ville=Aix+en+Provence, soit 6 + 15 = 21 caractères.

On sépare les deux couples par & : prenom=Lea&ville=Aix+en+Provence.

Avec GET, la saisie est écrite telle quelle dans l'URL : toute personne qui voit l'écran ou l'historique du navigateur peut la lire.¹

Le total est de 10 + 1 + 21 = 32 caractères.

Dans la balise form, on place la méthode et le lien activé à l'envoi :

<form method="POST" action="accueil.php">
  <input type="text" name="first-name">
  <input type="submit" value="Envoyer">
</form>

L'URL du script PHP est bien spécifiée dans l'attribut action.²

Dans accueil.php, le script accède aux données par $_POST, puisque la méthode du formulaire est POST :

<?php
echo "Bonjour " . $_POST['first-name'];
?>

Le fichier PHP cible lit les données avec $_POST ou $_GET, selon la valeur de l'attribut method.²

Si le formulaire passait en GET, il faudrait remplacer $_POST par $_GET dans le script, et la méthode du formulaire par GET.²

Le formulaire utilise POST : les données sont donc placées dans le corps de la requête.¹ Le script lit la variable associée à GET au lieu de celle associée à POST, alors que la variable à lire dépend de la valeur de l'attribut method.² Il ne trouve rien : voilà l'origine du problème.

Première correction : garder le formulaire en POST et lire la clé mot avec $_POST à la place de $_GET dans le script.²

Seconde correction : passer le formulaire en method="GET". La lecture par $_GET reste alors valable, sans passer par $_POST.²

Après la première correction (POST), le mot n'apparaît pas dans la barre d'adresse, puisque les données sont dans le corps de la requête.¹ Après la seconde (GET), le mot saisi s'affiche dans l'URL.¹

Avec GET, la saisie est écrite telle quelle dans l'URL du navigateur. Le mot de passe y apparaît donc, à côté de l'identifiant.¹

Deux situations : une personne regarde l'écran au moment de la connexion ; l'adresse complète est copiée et envoyée à quelqu'un, qui reçoit alors le mot de passe avec. Ces deux cas découlent de l'affichage dans l'adresse.¹

Correction : on passe en POST.

<form method="POST" action="connexion.php">
  <input type="text" name="identifiant">
  <input type="password" name="mdp">
  <input type="submit" value="Se connecter">
</form>

Dans connexion.php, on lit $_POST['mdp'] au lieu de $_GET['mdp'].²

Avec POST, les données sont dans le corps de la requête : elles sont moins visibles, mais pas pour autant inaccessibles à un esprit malveillant qui intercepterait la requête.¹ Passer en POST évite l'affichage dans l'adresse ; cela ne règle pas à lui seul toute la question de la confidentialité.

Choix de la méthode : on prend POST. Les informations d'un élève n'ont pas à s'afficher dans la barre d'adresse, et POST place les données dans le corps de la requête, donc moins visibles.¹

Le code HTML :

<form method="POST" action="merci.php">
  <input type="text" name="nom">
  <input type="text" name="prenom">
  <input type="text" name="classe">
  <input type="submit" value="S'inscrire">
</form>

La balise form porte la méthode et le lien activé à l'envoi.¹

Le script merci.php lit les données avec la variable associée à la méthode POST :

<?php
echo "Merci " . $_POST['prenom'] . " " . $_POST['nom'];
?>

Le fichier PHP cible lit les données avec la variable prévue pour la méthode utilisée dans le formulaire.²

Pour la recherche par nom, on peut choisir GET : la saisie s'affiche alors dans l'URL, ce qui permet de recopier ou de partager l'adresse d'une recherche.¹ Ce choix reste raisonnable parce que le nom cherché n'est pas une information secrète.

On vérifie la cohérence : chaque name du formulaire correspond à une clé lue dans le script, et la variable lue correspond à la méthode choisie.