Формы и POST-поток - Lemonade Framework

Полный поток формы

Типичный server-rendered flow выглядит так: GET рендерит форму, POST проходит через CsrfMiddleware, controller читает входные данные и валидирует их один раз. При ошибке он возвращает форму с ошибками и исходными значениями; при успехе передаёт запись сервису приложения, сохраняет flash message, делает redirect и завершает процесс следующим GET. Это pattern Post/Redirect/Get. Подробнее о rules — в Валидации, о дополнительных HTTP guards — в Middleware.

Маршруты и защита CSRF

Оставьте GET route простой, а CsrfMiddleware подключите к POST route, которая меняет состояние. View рендерит token через встроенный CSRF helper, поэтому request и view используют один и тот же механизм фреймворка.

<?php

use App\Controllers\ContactController;
use Lemonade\Framework\Routing\Router;
use Lemonade\Framework\Security\Csrf\CsrfMiddleware;

return static function (Router $router): void {
    $router->getNamed('contact.form', '/contact', ContactController::class . '@form');

    $router
        ->postNamed('contact.submit', '/contact', ContactController::class . '@submit')
        ->middleware(CsrfMiddleware::class);
};

GET action, POST action, валидация и redirect

GET action готовит начальные значения и рендерит страницу. POST action читает вход через helper-методы controller, валидирует его один раз, при ошибке возвращает ту же форму с HTTP 422, а при успехе вызывает сервис приложения для записи, устанавливает flash message и выполняет redirect.

<?php

declare(strict_types=1);

namespace App\Controllers;

use App\Services\ContactSubmissionService;
use Lemonade\Framework\Core\AbstractController;
use Lemonade\Framework\Validation\ValidationSchema;
use Psr\Http\Message\ResponseInterface;

final class ContactController extends AbstractController
{
    public function __construct(
        private readonly ContactSubmissionService $contactService,
    ) {}

    public function form(): ResponseInterface
    {
        return $this->renderForm(
            values: [
                'name' => '',
                'email' => '',
                'message' => '',
            ],
            errors: [],
        );
    }

    public function submit(): ResponseInterface
    {
        $values = [
            'name' => $this->inputString('name'),
            'email' => $this->inputString('email'),
            'message' => $this->inputString('message'),
        ];

        $schema = ValidationSchema::create()
            ->field('name', 'Name')
                ->required()
                ->maxLength(100)
            ->end()
            ->field('email', 'E-mail')
                ->required()
                ->email()
            ->end()
            ->field('message', 'Message')
                ->required()
                ->maxLength(2000)
            ->end();

        $result = $this->validator()->validate($values, $schema);

        if (!$result->isValid()) {
            return $this->renderForm(
                values: $values,
                errors: $result->errors(),
                status: 422,
            );
        }

        $this->contactService->store($result->validated());
        $this->flash()->set('success', 'Your message has been sent.');

        return $this->redirect($this->url()->route('contact.form'));
    }

    /**
     * @param array{name:string,email:string,message:string} $values
     * @param array<string, string> $errors
     */
    private function renderForm(array $values, array $errors, int $status = 200): ResponseInterface
    {
        return $this->html(
            $this->view()->template('layouts.app', 'pages.contact-form', [
                'values' => $values,
                'errors' => $errors,
            ]),
            $status,
        );
    }
}

Рендерите форму с CSRF, значениями и ошибками

Form view рендерит csrfField(), возвращает отправленные значения в inputs и на GET после redirect читает success flash message. Передавайте values и errors явно из controller, чтобы view не зависело от скрытых helper-методов demo-приложения.

<?php

/**
 * @var \Lemonade\Framework\View\View $this
 * @var \Lemonade\Framework\View\ViewHelpers $helpers
 * @var \Lemonade\Framework\View\RequestViewHelpers $requestHelpers
 * @var array<string, string> $errors
 * @var array{name:string,email:string,message:string} $values
 */
?>
<?php if ($success = $requestHelpers->flash('success')): ?>
    <div class="alert alert-success"><?= e((string) $success) ?></div>
<?php endif; ?>

<form method="post" action="<?= e($helpers->url('contact.submit')) ?>">
    <?= $helpers->csrfField() ?>

    <input name="name" value="<?= e($values['name']) ?>">
    <input name="email" value="<?= e($values['email']) ?>">
    <textarea name="message"><?= e($values['message']) ?></textarea>

    <?php if (isset($errors['message'])): ?>
        <p><?= e($errors['message']) ?></p>
    <?php endif; ?>

    <button type="submit">Send</button>
</form>

Держите запись вне controller

Controller должен отвечать за HTTP orchestration. Саму запись можно вынести в небольшой сервис приложения, когда это уже больше, чем простое соединение request с фреймворком. Так controller остаётся читаемым без обязательных слоёв service или repository.

<?php

declare(strict_types=1);

namespace App\Services;

use Lemonade\Framework\Database\Database;

final class ContactSubmissionService
{
    public function __construct(
        private readonly Database $db,
    ) {}

    /**
     * @param array{name:string,email:string,message:string} $data
     */
    public function store(array $data): void
    {
        $this->db->table('contact_messages')->insert($data);
    }
}