PHP接收JS fetch发送JSON数据的正确方法

在现代Web开发中，前端与后端的数据交互日益频繁，JavaScript的fetch API因其强大和灵活而广受欢迎。当使用fetch发送POST请求，特别是以JSON格式发送数据时，开发者常会遇到一个困惑：在PHP后端，$_POST超全局变量竟然是空的。这并非PHP的缺陷，而是对HTTP请求体处理机制的理解差异所致。

理解$_POST与HTTP请求体

$_POST是PHP中一个非常方便的超全局变量，它自动解析HTTP POST请求中的表单数据。然而，$_POST并非万能。它主要用于处理两种特定Content-Type的请求：

1. application/x-www-form-urlencoded: 这是HTML表单默认的提交方式，数据以键值对的形式编码在请求体中，例如key1=value1&key2=value2。
2. multipart/form-data: 用于上传文件，数据被分割成多个部分，每个部分有其独立的Content-Disposition和Content-Type。

当前端使用fetch并设置Content-Type: application/json时，请求体中的数据是以原始JSON字符串的形式发送的，例如{"data":"some_value"}。PHP的$_POST机制不会自动解析这种Content-Type的数据，因此，$_POST自然会显示为空。

JavaScript fetch发送JSON数据示例

以下是一个典型的JavaScript fetch请求，它将数据以JSON格式发送到后端：

async function updatesProf(data) {
    const dataUpdate = {
        method: "POST",
        headers: {
            'Accept': 'application/json',
            'Content-Type': 'application/json', // 关键：指定JSON内容类型
            'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') // 示例中的CSRF令牌
        },
        body: JSON.stringify({ data: data }) // 关键：将数据转换为JSON字符串
    };

    try {
        const response = await fetch('synthese', dataUpdate);
        const res = await response.json();
        // 处理响应数据
        console.log("Response:", res);
        return res;
    } catch (error) {
        console.error("Error:", error);
    }
}

// 示例调用
// updatesProf({ name: "John Doe", age: 30 });

在这个JavaScript代码中，核心在于两点：

• 'Content-Type': 'application/json'：明确告诉服务器请求体是JSON格式。
• body: JSON.stringify({ data: data })：将JavaScript对象转换为JSON字符串，作为请求体发送。

由于设置了Content-Type: application/json，PHP的$_POST将无法自动解析。

PHP后端正确接收JSON数据

为了在PHP中获取Content-Type为application/json的请求体数据，我们需要直接读取HTTP请求的原始输入流。PHP提供了一个特殊的封装协议php://input，它允许我们访问请求的原始数据。

以下是PHP后端处理此类请求的正确方法：

 'success', 'message' => 'Data received successfully', 'data' => $received_data]);
        } else {
            echo json_encode(['status' => 'error', 'message' => 'Missing "data" key in JSON payload']);
        }
    } else {
        // JSON解码失败，可能是前端发送了无效的JSON
        echo json_encode(['status' => 'error', 'message' => 'Invalid JSON received', 'json_error' => json_last_error_msg()]);
    }
} else {
    // 非POST请求的处理
    header('HTTP/1.1 405 Method Not Allowed');
    echo json_encode(['status' => 'error', 'message' => 'Method Not Allowed']);
}

?>

代码解析：

1. file_get_contents('php://input'): 这是核心。它读取HTTP请求的原始数据，无论Content-Type是什么。对于JSON请求，它将返回一个包含JSON字符串的文本。
2. json_decode($json_data, true): 将获取到的JSON字符串解码为PHP数据结构。
   • 第二个参数true：指定将JSON对象解码为关联数组（array）。如果设置为false或省略，则解码为PHP对象（stdClass）。通常，使用关联数组更便于访问数据。
3. json_last_error() / json_last_error_msg(): 在json_decode之后，务必检查解码是否成功。如果前端发送的JSON格式不正确，json_decode会返回null，并且这些函数会提供错误信息，这对于调试非常有用。

注意事项与最佳实践

• 数据验证与清理: 无论是通过$_POST还是php://input获取的数据，都必须进行严格的验证和清理，以防止SQL注入、XSS等安全漏洞。

• 统一接口处理: 如果您的API可能同时接收application/x-www-form-urlencoded和application/json，您可以编写一个通用的函数来解析请求体，根据Content-Type头选择不同的解析方式。

   'error', 'message' => 'Unable to parse request body']);
      exit();
  }
  // 继续处理 $request_data
  ?>

• 错误处理与响应: 在PHP后端，当处理完数据后，应始终返回一个结构化的响应，通常也是JSON格式，包含状态码、消息和任何必要的数据，以便前端能够正确处理。

• CSRF防护: 示例中的JavaScript代码已经包含了X-CSRF-TOKEN头部。在PHP后端，您应该验证这个令牌，以防止跨站请求伪造攻击。

总结

$_POST超全局变量在处理application/x-www-form-urlencoded和multipart/form-data类型的请求时非常方便，但对于application/json类型的请求，它将无法工作。正确的做法是利用file_get_contents('php://input')读取原始HTTP请求体，然后使用json_decode()将其解析为PHP可操作的数据结构。通过理解这一机制并遵循最佳实践，您可以确保JavaScript fetch与PHP后端之间的数据交互顺畅且安全。