如何通过 .htaccess 实现前端路由统一入口并安全获取请求路径-php教程-PHP中文网

如何通过 .htaccess 实现前端路由统一入口并安全获取请求路径

本文详解如何利用 .htaccess 将所有 HTTP 请求无损转发至单一 PHP 路由处理器（如 router.php），避免 URL 参数拼接风险，推荐使用 $_SERVER['REQUEST_URI'] 安全获取原始路径，无需手动解析 query string 或构造 url= 参数。

本文详解如何利用 .htaccess 将所有 http 请求无损转发至单一 php 路由处理器（如 router.php），避免 url 参数拼接风险，推荐使用 `$_server['request_uri']` 安全获取原始路径，无需手动解析 query string 或构造 `url=` 参数。

在构建基于 PHP 的轻量级单入口路由系统时，常见的误区是试图将请求路径以查询参数形式（如 router.php?url=register）重写转发——这不仅冗余，更会引发潜在的安全与兼容性问题。正确的做法是：让 .htaccess 静默重写（rewrite）所有非静态资源请求到路由文件，同时完整保留原始请求 URI 和查询字符串，由 PHP 端安全解析。

✅ 推荐的 .htaccess 配置（置于网站根目录）

# 启用重写引擎
RewriteEngine On

# 排除真实存在的文件和目录（如 CSS、JS、图片、子目录等）
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d

# 将所有其他请求重写为 router.php，不改变浏览器地址栏，且完整传递 QUERY_STRING
RewriteRule ^(.*)$ router.php [QSA,L]

QSA（Query String Append）标志确保原始 URL 中的查询参数（如 ?redirect=page/category/stuff）自动追加到 router.php 请求中，无需手动拼接；
L 表示这是最后一条规则，避免后续规则干扰；
!-f 和 !-d 条件保证真实存在的静态文件（如 /style.css）或目录（如 /uploads/）不受影响，提升性能与兼容性。

✅ 在 router.php 中安全获取原始路径

无需解析 $_GET['url'] —— 该方式易受参数污染、编码歧义及 XSS 间接利用风险。应直接使用：

<?php // router.php
$requestUri = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH);
$rawQueryString = $_SERVER['QUERY_STRING']; // 如 'redirect=page/category/stuff'

// 示例：路由分发逻辑
switch ($requestUri) {
    case '/register':
        include 'controllers/register.php';
        break;
    case '/login':
        include 'controllers/login.php';
        break;
    default:
        http_response_code(404);
        echo "Route not found";
}

? 提示：$_SERVER['REQUEST_URI'] 包含完整的原始请求路径和查询字符串（如 /register?redirect=page/category/stuff），parse_url(..., PHP_URL_PATH) 可安全提取路径部分，完全规避 URL 编码、特殊字符或恶意注入导致的解析错误。

HISUI 前端框架开发指南（IRIS版）
HISUI 前端框架基础开发指南。HISUI 是基于 easyui 二次开发的 jQuery UI 组件库，专为医疗信息系统设计。当涉及 HISUI 组件开发、jQuery easyui 表格/表单/布局/窗口、医疗系统前端页面编写时使用此 skill。涵盖 40 个组件的官方文档参考，支持声明式与编程式两种初始化方式，提供 $cm/$m 数据访问方法。

下载

⚠️ 注意事项与最佳实践

绝不信任 $_GET 中的路由参数：若仍采用 router.php?url=... 方式，攻击者可构造 ?url=//evil.com/steal.php 或注入空字节、路径遍历序列（如 ../etc/passwd），即使未直接执行，也可能被日志、调试输出或第三方库误处理。
启用 mod_rewrite 并确认 .htaccess 生效：在 Apache 配置中确保 AllowOverride All 已为对应目录启用；Nginx 用户需改用 try_files $uri $uri/ /router.php; 配置。
开发期快速验证：在 router.php 开头添加，访问任意路径即可直观查看原始请求数据。
考虑使用现代框架路由机制：对于中大型项目，建议迁移到 Laravel、Symfony 或 Slim 等成熟框架，其内置路由组件已深度防御各类边缘 case。

综上，.htaccess + $_SERVER['REQUEST_URI'] 是简洁、安全、符合 HTTP 规范的路由入口方案——它不修改用户可见 URL，不引入额外参数污染，且天然兼容所有合法查询参数，是 PHP 前端控制器模式的稳健基石。