Работа с URL параметрами в PHP: от теории до практики

Ниже приведены расширенные примеры работы с параметрами URL, которые редко встречаются в базовых учебниках, но полезны на практике.

Расширенные примеры

Создание URL с параметрами из массива

Функция http_build_query генерирует строку запроса на основе ассоциативного массива, автоматически кодируя значения.

$params = [
    'search' => 'PHP 8',
    'sort'   => 'date',
    'page'   => 2
];
$query = http_build_query($params, '', '&');
$url = 'https://example.com/?' . $query;
echo $url;
// Результат: https://example.com/?search=PHP+8&sort=date&page=2

https://example.com/?search=PHP+8&sort=date&page=2

Обратите внимание на параметр $numeric_prefix (второй аргумент) - он добавляет префикс к числовым ключам. Третий аргумент ($arg_separator) позволяет использовать & вместо & или наоборот.

Извлечение фрагмента URL (hash) после #

Фрагмент (якорь) не передаётся на сервер, но если URL получен из внешнего источника, можно разобрать его с помощью parse_url.

$url = 'https://example.com/page#section2';
$parts = parse_url($url);
if (isset($parts['fragment'])) {
    $fragment = $parts['fragment']; // section2
    echo 'Фрагмент: ' . $fragment;
} else {
    echo 'Фрагмент отсутствует';
}

Фрагмент: section2

Применяется при обработке ссылок с внутренней навигацией или SPA-приложений.

Передача JSON в параметре URL

Иногда удобно передавать структурированные данные в одной строке, закодировав JSON.

$data = ['name' => 'John', 'age' => 30];
$json = json_encode($data);
$encoded = urlencode($json);
$url = 'https://example.com/?data=' . $encoded;
echo $url;
// Декодирование на стороне сервера:
$raw = $_GET['data'] ?? '';
$decoded = json_decode(urldecode($raw), true);
print_r($decoded);

URL: https://example.com/?data=%7B%22name%22%3A%22John%22%2C%22age%22%3A30%7D
Массив: Array ( [name] => John [age] => 30 )

Важно: длина URL ограничена (обычно 2000 символов), поэтому JSON должен быть компактным. Не рекомендуется для больших объёмов.

Использование filter_has_var для проверки наличия параметра

Функция filter_has_var проверяет, существует ли указанный параметр в заданном типе входных данных, без извлечения значения.

if (filter_has_var(INPUT_GET, 'token')) {
    $token = filter_input(INPUT_GET, 'token', FILTER_SANITIZE_STRING);
    echo 'Токен получен: ' . $token;
} else {
    echo 'Токен не передан';
}

Токен не передан (пример вывода при отсутствии параметра)

Полезно для API, где нужно сначала убедиться, что параметр присутствует, и только затем обрабатывать.

Ручной разбор строки запроса без parse_str

Иногда требуется кастомный разбор, например, при работе с нестандартными разделителями.

$queryString = 'name=John&city=Moscow&phone=%2B7';
$pairs = explode('&', $queryString);
$params = [];
foreach ($pairs as $pair) {
    $parts = explode('=', $pair, 2); // ограничиваем explode 2 частями
    if (count($parts) === 2) {
        $key = urldecode($parts[0]);
        $value = urldecode($parts[1]);
        $params[$key] = $value;
    }
}
print_r($params);

Array ( [name] => John [city] => Moscow [phone] => +7 )

Этот метод даёт полный контроль над процессом, но требует внимательной обработки кодировок и случаев, когда в значении встречается символ =.

Преобразование query-строки обратно в массив с учётом вложенности

Некоторые параметры могут быть иерархическими, например filter[price][min]=100. parse_str поддерживает такое, но двойные скобки могут интерпретироваться неочевидно.

$query = 'filter%5Bprice%5D%5Bmin%5D=100&filter%5Bprice%5D%5Bmax%5D=500';
$decoded = urldecode($query); // filter[price][min]=100&filter[price][max]=500
$params = [];
parse_str($query, $params);
print_r($params);

Array ( [filter] => Array ( [price] => Array ( [min] => 100 [max] => 500 ) ) )

Работает корректно, если в URL квадратные скобки закодированы. Но если они не закодированы, браузер может воспринять их как часть пути. Используйте urlencode для генерации таких параметров.

Безопасное использование параметров в SQL-запросах

Никогда не вставляйте параметры URL напрямую в SQL. Используйте подготовленные выражения PDO.

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);
if ($id !== false && $id !== null) {
    $stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
    $stmt->execute([':id' => $id]);
    $user = $stmt->fetch(PDO::FETCH_ASSOC);
    if ($user) {
        echo 'Пользователь: ' . htmlspecialchars($user['name'], ENT_QUOTES, 'UTF-8');
    } else {
        echo 'Пользователь не найден';
    }
} else {
    echo 'Некорректный ID';
}

Пользователь: Иван (при корректном id)

Этот подход исключает SQL-инъекции, даже если фильтр не сработал (например, вместо целого числа передана строка).