如何在不使用 .php 扩展名的情况下安全获取并输出 JSON 数据-php教程-PHP中文网

如何在不使用 .php 扩展名的情况下安全获取并输出 JSON 数据

本文详解如何通过 apache 重写规则实现无 .php 后缀的 json 接口访问，并确保 php 脚本正确响应 content-type、处理路径参数及避免 404 错误。

本文详解如何通过 apache 重写规则实现无 .php 后缀的 json 接口访问，并确保 php 脚本正确响应 content-type、处理路径参数及避免 404 错误。

在构建轻量级 API 代理或前端数据桥接服务时，常需隐藏真实脚本扩展名（如 .php），以提升 URL 的语义性与专业感（例如将 https://local.test/data.php/search?q=title:DNA 简化为 https://local.test/data/search?q=title:DNA）。但仅靠基础重写规则往往导致路由失效或 404 报错——根本原因在于：Apache 默认无法将 /data/search 这类“伪静态路径”精准映射到 data.php，且原 .htaccess 规则未覆盖带查询参数（?q=...）的深层路径匹配。

✅ 正确的重写逻辑：分层匹配 + 显式转发

需采用分层、优先级明确的 RewriteRule 配置。以下为推荐的 .htaccess 内容（置于项目根目录）：

RewriteEngine On
RewriteBase /

# 1. 优先匹配已知 API 路径（如 /data/search），直接转发至 data.php
RewriteRule ^data/search$ data.php [L]

# 2. 对其他以真实文件名结尾的请求（如 /about），自动补 .php 后缀
RewriteCond %{REQUEST_FILENAME}.php -f
RewriteRule ^(.*)/?$ $1.php [L]

# 3. 兜底：所有非文件/非目录/非符号链接的请求交由 index.php 处理（可选，用于 SPA 或统一入口）
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-l
RewriteRule . index.php [L]

? 关键说明：

JSON Formatter
格式化、验证、压缩 JSON 数据并提取路径，以提升可读性与结构验证。

下载

^data/search$ 是精确匹配，确保 /data/search（含后续查询参数 ?q=...）被完整传递给 data.php；Apache 自动保留 QUERY_STRING，无需额外配置。

[L] 标志表示“Last”，阻止后续规则执行，避免冲突。

RewriteBase / 确保相对路径解析正确（尤其在子目录部署时至关重要）。

✅ PHP 脚本优化：增强健壮性与安全性

原始 data.php 存在潜在风险（如未校验 $params、未处理远程请求失败）。建议升级为以下版本：

<?php // data.php —— 安全的 JSON 代理接口
header('Content-Type: application/json; charset=utf-8');
header('Access-Control-Allow-Origin: *'); // 如需跨域，请按需调整

// 1. 安全提取路径尾部（避免注入）
$pathInfo = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH);
$params = ltrim(strrchr($pathInfo, '/'), '/'); // 更可靠地获取 /search?q=xxx 中的 'search'

// 2. 构建目标 API 地址（白名单校验更佳）
$allowedEndpoints = ['search', 'articles', 'journals'];
if (!in_array($params, $allowedEndpoints)) {
    http_response_code(404);
    echo json_encode(['error' => 'Invalid endpoint']);
    exit;
}

$apiUrl = "http://api.plos.org/{$params}" . ($_SERVER['QUERY_STRING'] ? '?' . $_SERVER['QUERY_STRING'] : '');

// 3. 使用 cURL 替代 file_get_contents（支持超时、错误处理）
$ch = curl_init();
curl_setopt_array($ch, [
    CURLOPT_URL => $apiUrl,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_TIMEOUT => 10,
    CURLOPT_USERAGENT => 'PHP-JSON-Proxy/1.0',
    CURLOPT_FOLLOWLOCATION => true,
]);
$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);

if ($response === false || $httpCode !== 200) {
    http_response_code($httpCode ?: 502);
    echo json_encode(['error' => 'API request failed', 'code' => $httpCode]);
    exit;
}

// 4. 原样输出响应（保持原始 JSON 结构与编码）
echo $response;

⚠️ 注意事项与最佳实践

禁用 file_get_contents() 远程读取：若服务器禁用了 allow_url_fopen，必须改用 cURL（如上例）。
避免路径遍历风险：strrpos() + substr() 方式易受恶意路径干扰（如 /data/../../etc/passwd），应始终使用 parse_url() + 白名单校验。
CORS 策略：若前端 JavaScript 直接调用该接口，务必设置 Access-Control-Allow-Origin，否则触发跨域拦截。
缓存与性能：对高频请求可增加 header('Cache-Control: public, max-age=300')，并考虑添加 Redis 缓存层。
HTTPS 强制：生产环境应在 .htaccess 中补充强制 HTTPS 重定向，防止中间人窃取敏感参数。

通过上述配置，你将获得一个简洁、安全、符合 RESTful 风格的 JSON 接口：GET /data/search?q=title:DNA 可稳定返回 PLOS API 数据，且 URL 干净无 .php 后缀。