刚接触 PHP 表单处理的新手几乎都遇到过这样一个现象：验证逻辑明明写在提交处理之后，可是浏览器一打开页面，什么都没填，页面上就已经出现了“用户名不能为空”之类的错误提示。这并不是 PHP 的 bug，而是脚本执行流程理解不到位导致的。PHP 是服务端脚本，一个 .php 文件被请求时，服务器会把整个文件从头到尾执行一遍，如果验证代码没有用条件判断包裹起来，它自然会在页面首次加载（也就是用户还没点提交按钮）时就被执行。本文就来详细拆解这个问题的成因，并给出正确写法。
一、问题成因：PHP 不区分加载和提交，除非你告诉它
首先要理解 HTTP 请求的本质。用户第一次访问表单页面，浏览器发出的是 GET 请求；用户点击提交按钮后，浏览器才会根据 form 标签的 method 属性发出 POST 请求（假设 method 设为 post）。这两个动作对 PHP 来说是两次完全独立的请求，服务器端不会自动记住上次的状态。
如果把验证代码直接裸露在页面顶部，比如直接写 if ($_POST['username'] == '')，那么首次 GET 请求时这行代码照样执行。此时 $_POST['username'] 根本不存在，PHP 会抛出 Notice 警告，而 empty() 判断结果为真，错误提示就这样被渲染出来了。看一个典型的错误示例：
<?php
// 错误写法：页面一加载就会执行验证
$username = $_POST['username']; // 首次加载时这里直接报 Notice
if (empty($username)) {
$error = "用户名不能为空"; // 页面一打开就显示这个错误
}
?>
<form method="post" action="">
<input type="text" name="username">
<span><?php echo isset($error) ? $error : ''; ?></span>
<button type="submit">提交</button>
</form>这段代码的问题就在于验证逻辑没有判断“请求是不是用户提交产生的”。解决思路只有一个：在执行验证之前，先判断当前请求的请求方法是不是 POST。
二、正确写法：用 REQUEST_METHOD 判断请求阶段
PHP 提供了 $_SERVER['REQUEST_METHOD'] 这个超全局变量，它返回当前请求的方法字符串，GET 请求返回 GET，POST 请求返回 POST。借助它，我们可以把验证逻辑安全地包裹在条件语句中，确保只有用户点击提交后代码才会执行。标准写法如下：
<?php
$error = '';
$username = '';
// 只有当请求方法为 POST 时才执行验证
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$username = trim($_POST['username'] ?? '');
if ($username === '') {
$error = "用户名不能为空";
} elseif (mb_strlen($username) < 3) {
$error = "用户名至少需要3个字符";
} else {
// 验证通过，执行入库等业务逻辑
// header('Location: success.php');
// exit;
}
}
?>
<form method="post" action="">
<input type="text" name="username"
value="<?php echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8'); ?>">
<span style="color:red"><?php echo $error; ?></span>
<button type="submit">提交</button>
</form>除了 REQUEST_METHOD，还可以用 isset($_POST['submit']) 来判断提交按钮的 name 属性是否存在，这种方式在老代码里很常见。但要注意，如果按钮没有设置 name 属性，或者表单用 JavaScript 的 submit() 方法提交，这个判断就会失效，所以更推荐用请求方法判断，语义也更清晰。
三、完整示例：带多项校验的用户注册表单
下面给出一个更贴近实际项目的完整示例，包含非空校验、正则校验、密码长度检查、错误信息收集以及输入回显。实际开发中建议把每条错误都收集到数组里，一次性展示给用户，体验比碰到第一个错误就停止好得多。
<?php
$errors = [];
$old = ['username' => '', 'email' => ''];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$username = trim($_POST['username'] ?? '');
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
if ($username === '') {
$errors['username'] = "用户名不能为空";
} elseif (!preg_match('/^[\x{4e00}-\x{9fa5}A-Za-z0-9_]{3,20}$/u', $username)) {
$errors['username'] = "用户名只能是3到20位的中文、字母、数字或下划线";
}
if ($email === '') {
$errors['email'] = "邮箱不能为空";
} elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors['email'] = "邮箱格式不正确";
}
if (mb_strlen($password) < 8) {
$errors['password'] = "密码至少需要8位";
}
$old['username'] = $username;
$old['email'] = $email;
if (empty($errors)) {
// 全部通过，执行注册逻辑
// $hash = password_hash($password, PASSWORD_DEFAULT);
echo "<script>alert('注册成功');</script>";
}
}
function e($str) {
return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}
?>
<form method="post" action="">
<p>
用户名：<input type="text" name="username" value="<?php echo e($old['username']); ?>">
<span style="color:red"><?php echo $errors['username'] ?? ''; ?></span>
</p>
<p>
邮箱：<input type="text" name="email" value="<?php echo e($old['email']); ?>">
<span style="color:red"><?php echo $errors['email'] ?? ''; ?></span>
</p>
<p>
密码：<input type="password" name="password">
<span style="color:red"><?php echo $errors['password'] ?? ''; ?></span>
</p>
<button type="submit">注册</button>
</form>这个示例有几个细节值得注意。第一，所有回显到 HTML 的变量都经过了 htmlspecialchars 转义，这是防止 XSS 攻击的基本要求，即使数据来自服务端验证也不应省略。第二，验证失败时保留了用户已填写的合法值，避免重新输入全部内容。第三，邮箱校验使用了 filter_var 配合 FILTER_VALIDATE_EMAIL，比手写正则更可靠，PHP 还提供了 filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL) 这种更简洁的写法。
四、进阶注意事项与常见坑
解决了核心问题之后，还有几个容易忽视的点。其一，空字符串判断建议用 $x === '' 或 empty() 时注意 0 也会被 empty 判定为空，如果字段允许填 0，就会误判。其二，表单处理成功后执行跳转要用 header('Location: xxx.php') 并紧跟 exit;，否则后续代码继续执行，还可能因 header 已输出而报错。其三，涉及密码存储务必使用 password_hash() 和 password_verify()，不要用 md5 或 sha1。
另外，如果项目规模变大，建议把验证逻辑从展示层分离，例如封装一个 Validator 类，或者引入框架自带的验证组件（如 Laravel 的 Validator、Symfony 的 Validator）。这些组件自带规则定义、批量错误收集和自定义错误消息，可以让代码维护性大幅提升。CSRF 防护也不要遗漏，最简单的做法是在表单里放一个 session token，提交后校验一致性，防止跨站请求伪造攻击。
总结一下，表单验证在页面加载时就触发的根本原因是缺少请求方法判断，用 $_SERVER['REQUEST_METHOD'] === 'POST' 把验证逻辑包起来就能彻底解决。在此基础上做好输入过滤、输出转义和密码哈希，一个安全可靠且体验良好的表单处理流程就搭建完成了。