怎样在 PHP 中获取当前页面的完整 URL_解析 SERVER 环境变量-php教程-PHP中文网

应优先读取$_server['http_x_forwarded_proto']，再fallback到$_server['https']并用filter_var校验布尔值；协议确定后，用$_server['http_host']与$_server['request_uri']拼接，全程需html转义防xss。

怎样在 php 中获取当前页面的完整 url_解析 server 环境变量

不能直接用 $_GET['url'] 拼出当前完整 URL，它只是重写规则传入的路由参数，不是原始请求地址。真正可靠的方式是组合 $_SERVER 中的几个关键字段，但必须注意协议判断、代理兼容性和 XSS 防御。

怎么拼出带协议的完整 URL（HTTP/HTTPS）

核心逻辑是：协议 + 主机 + 请求路径（含查询字符串）。但 $_SERVER['HTTPS'] 的值不统一（可能是 'on'、'1' 或不存在），硬判 === 'on' 在 Nginx+PHP-FPM 或反向代理下容易出错。

优先检查 $_SERVER['HTTP_X_FORWARDED_PROTO']（若可信代理已配置 ProxyPreserveHost On）
fallback 到 $_SERVER['HTTPS']，用 filter_var($_SERVER['HTTPS'], FILTER_VALIDATE_BOOLEAN) 更稳妥
始终用 $_SERVER['HTTP_HOST']，不用 $_SERVER['SERVER_NAME']——前者来自请求头，含端口；后者依赖配置，可能不一致
$_SERVER['REQUEST_URI'] 已包含路径和查询字符串，无需再拼 $_SERVER['QUERY_STRING']

示例：

$scheme = $_SERVER['HTTP_X_FORWARDED_PROTO'] ?? ($_SERVER['HTTPS'] ?? 'off');
$scheme = filter_var($scheme, FILTER_VALIDATE_BOOLEAN) ? 'https' : 'http';
$host = $_SERVER['HTTP_HOST'] ?? $_SERVER['SERVER_NAME'];
$uri = $_SERVER['REQUEST_URI'] ?? '/';
$current_url = $scheme . '://' . $host . $uri;

为什么 `$_SERVER['PHP_SELF']` 和 `$_SERVER['SCRIPT_NAME']` 不适合拼完整 URL

这两个变量只反映 PHP 脚本自身路径，不含查询参数，且在 PATH_INFO 存在时会被污染（比如访问 /index.php/user/123，$_SERVER['PHP_SELF'] 可能变成 /index.php/user/123，而实际脚本仍是 index.php）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$_SERVER['PHP_SELF'] 可被构造恶意路径触发 XSS，例如 /index.php/%3Cscript%3Ealert(1)%3C/script%3E
$_SERVER['SCRIPT_NAME'] 不包含查询字符串，也不反映重写后的路径语义
二者都不携带协议信息，硬加 http:// 会导致 HTTPS 页面出现混合内容警告

反向代理（Nginx/Apache）下常见失效场景

当 PHP 运行在 Nginx 后面、或 Apache 前还有一层 CDN/负载均衡时，$_SERVER['HTTPS'] 和 $_SERVER['HTTP_HOST'] 往往为空或错误，因为原始请求被代理覆盖了。

必须启用代理透传：Nginx 需加 proxy_set_header X-Forwarded-Proto $scheme; 和 proxy_set_header Host $host;
PHP 代码中要主动读取 $_SERVER['HTTP_X_FORWARDED_PROTO'] 和 $_SERVER['HTTP_X_FORWARDED_HOST']
忽略 $_SERVER['SERVER_PORT'] 直接拼端口——443 或 80 应由协议决定，而不是从端口数字反推协议