Оператор PHP If для проверки, пусты ли поля формы

Вы должны сделать это следующим образом:

if(isset($_POST['submit'])) {
    foreach($_POST as $val) {
        if(trim($val) == '' || empty($val)) {
            //empty field, do something
            ...
            header("Location: /add.php?error=empty_fields");
            die();
        }
    }
    //all seems to be ok
    ...
}

Чтобы предотвратить внедрение SQL, используйте PDO, и вы забудете об этом.

Одним из методов обнаружения ботов является использование поля-приманки, такого как это

<input type="text" name="check" value="" style="display:none;" />

а затем обнаружить бота

if (!empty($_POST['check'])) { /* bot detected! */ }

Причина, по которой это работает достаточно хорошо, заключается в том, что боты тупые. Они попытаются заполнить все необходимые поля, которые могут иметь отношение к успешной отправке, чтобы избежать проблем с обязательными полями. Важно отметить, что вместо type="hidden" использовалось type="text", потому что большинство ботов знали бы, что скрытые поля не являются частью обязательной проверки полей.

Проверка на $_POST['submit'] часто не работает, потому что многие боты будут эмулировать веб-страницу.

Вы должны проверить каждое поле одно за другим, чтобы убедиться, что все поля были заполнены. Запись $_POST['submit'] существует, если вы фактически нажмете кнопку отправки.

if (!$_POST['name'] || empty($_POST['name'])
    || !$_POST['email'] || empty($_POST['email'])
    || ...) {    
    echo "Please complete all form fields!";
    echo "<meta http-equiv='Refresh' content='3; URL=../add.php'>";
}

Существует множество методов рефакторинга и улучшения написания такого рода проверки. Пример, от W3Schools:

<?php
// define variables and set to empty values
$name = $email = $gender = $comment = $website = "";

if ($_SERVER["REQUEST_METHOD"] == "POST")
{
  // Sanitize every var from SQL injection, XSS and strip spaces...
  $name = test_input($_POST["name"]);
  $email = test_input($_POST["email"]);
  $website = test_input($_POST["website"]);
  $comment = test_input($_POST["comment"]);
  $gender = test_input($_POST["gender"]);

 if(empty($name) || empty($email) || empty($website) || empty($comment) || empty($gender)) {
    echo "Please complete all form fields!";
    echo "<meta http-equiv='Refresh' content='3; URL=../add.php'>";
 }
}


function test_input($data)
{
  $data = trim($data);
  $data = htmlspecialchars(addslashes($data));
  return $data;
}
?>

1. Вы не можете быть уверены, что это не бот. И вы можете избежать SQL-инъекций с помощью хороших простых методов кодирования, но ваш фрагмент кода слишком мал, чтобы показать что-либо из этого, используете ли вы их или нет.
2. Также добавьте проверку на стороне клиента (используя Javascript); если вы получаете пустые значения, то, скорее всего, форма была отправлена ​​​​не через обычный браузер, но могут быть и другие причины, например. Javascript отключен, так что вы не можете быть уверены.

Вы также можете проверить User-Agent, но помните, что его можно подделать. И этот бот также может добавить правильное поле Submit!

Шаг 1. Проверка на стороне клиента

Вам нужно будет сделать немного больше, чтобы поля не были пустыми. Я бы предложил начать с проверки на стороне клиента с использованием JavaScript. Для этого существует множество сценариев и руководств, я бы порекомендовал любой из этих двух:

• https://github.com/posabsolute/jQuery-Validation-Engine
• http://jqueryvalidation.org/

Это поможет гарантировать, что если пользователь отправит форму, он будет вынужден заполнить все поля формы, прежде чем данные будут отправлены на сервер.

Шаг 2. Проверка на стороне сервера

Если вы пытаетесь выполнить полную проверку значений формы в форме, я бы сделал что-то вроде этого:

 $form_fields = array('email','fname','lname');
 $isValid = true;
 foreach($_POST as $key=>$value){
      if(in_array($key,$form_fields)){
           if(empty($value) { 
                $isValid = false;
           }
      }
 }
 if(!isValid) {
      header("Location: /add.php?error=1");
      die();
 }

При таком подходе вы определяете все имена полей, которые вам нужны, в верхней части скрипта и просто просматриваете объект $_POST, чтобы увидеть, есть ли назначенные данные/значение. Это, конечно, не принимает во внимание какую-либо проверку типа поступающих данных, и я бы рекомендовал подумать об этом, чтобы вы не получали неверные данные. Если вам нужно проверить правильно отформатированные данные, вам придется проверять каждый ввод формы отдельно.

Шаг 3. Подготовленные операторы SQL

Последней рекомендацией для защиты от SQL-инъекций будет использование подготовленных операторов SQL. при вставке данных в базу данных. Или рассмотреть ORM, который сделает это за вас. Для этого я бы рекомендовал:

• http://redbeanphp.com/
• http://www.doctrine-project.org/

Необязательный шаг: одноразовый номер PHP

Если вы беспокоитесь о том, что кто-то отправит СПАМ через страницу, которая обрабатывает вашу форму, вы можете реализовать одноразовый номер. Этот криптографический ключ гарантирует, что форма может быть отправлена ​​только один раз, а любые другие отправки будут отклонены. Опять же, я не уверен, насколько безопасно вы хотите быть в своем проекте, но это тоже следует учитывать.

Это довольно хорошая библиотека для одноразовых номеров в PHP:

• http://fullthrottledevelopment.com/php-nonce-library

Это полный скрипт, извините, я не разместил в исходном посте:

<?php
//Form fields passed to variables
$manu = mysql_real_escape_string($_POST['inputManu']);
$model = mysql_real_escape_string($_POST['inputModel']);
$desc = mysql_real_escape_string($_POST['inputDesc']);

//Connect to database using $conn
include ('connection.php');

$sql = "INSERT INTO gear (`id`,`manu`,`model`,`desc`)
    VALUES (NULL,'$manu','$model','$desc')";

//Check for empty fields
if (!$_POST['submit']) 
{   
   die('Error: ' . mysqli_error());
   echo "Please complete all form fields!";
   echo "<meta http-equiv='Refresh' content='3; URL=../add.php'>";
}
//Insert record into table 
elseif (!mysqli_query($conn,$sql))
{
die('Error: ' . mysqli_error($conn));
}
else 
{
//echo "1 record added";
echo "Success, You added the ".$manu." ".$model."";
echo "<meta http-equiv='Refresh' content='3; URL=../index.php'>";
}           
mysqli_close($conn);
?>