PHP 獲取與驗證表單提交來源（HTTP_REFERER）完整指南

PHP 獲取與驗證表單提交來源（HTTP_REFERER）完整指南

在 Web 開發中，確認請求來源是防範 CSRF（跨站請求偽造）與惡意提交的基礎手段之一。PHP 透過 $_SERVER['HTTP_REFERER'] 即可取得上一頁的 URL，但這個值並非絕對可靠，需搭配其他驗證機制使用。

基本用法：取得來源網址

輸出範例：https://www.example.com/previous-page.html

來源驗證範例

以下示範如何判斷請求是否來自自家網域：

說明： strpos() 回傳字串首次出現的位置（從 0 起算），若找不到則回傳 false。務必使用 !== false 嚴格比較，避免位置 0 被誤判為假值。

常用字串搜尋函數對照表

安全性提醒

• HTTP_REFERER 可被用戶端偽造或瀏覽器設定隱藏，不可作為唯一安全依據。
• 建議搭配 CSRF Token、SameSite Cookie、驗證碼 等機制共同防護。
• 若僅需簡易過濾，可結合 parse_url() 解析 host 後再比對。

進階寫法：解析 Host 比對