PHP $_SERVER 超全域變數完整參考手冊

概述

$_SERVER 是 PHP 自動建立的超全域陣列，包含 HTTP 標頭、腳本路徑、伺服器環境、請求資訊等關鍵資料。鍵名大小寫不敏感，但慣用大寫。本文整理 28 個常用鍵值，附帶說明、範例值與實務用法。

完整鍵值對照表

高頻實務範例

1. 取得當前完整 URL

function getCurrentUrl() {
    $protocol = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ? 'https' : 'http';
    $host = $_SERVER['HTTP_HOST'];
    $uri = $_SERVER['REQUEST_URI'];
    return $protocol . '://' . $host . $uri;
}

2. 取得客戶端真實 IP (支援代理)

function getClientIp() {
    $keys = ['HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR'];
    foreach ($keys as $key) {
        if (!empty($_SERVER[$key])) {
            $ips = explode(',', $_SERVER[$key]);
            return trim($ips[0]); // 取第一個 (最原始客戶端)
        }
    }
    return 'unknown';
}

3. 判斷 AJAX 請求

function isAjax() {
    return isset($_SERVER['HTTP_X_REQUESTED_WITH']) 
        && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest';
}

4. 防盜鏈 (簡易版)

$referer = $_SERVER['HTTP_REFERER'] ?? '';
if (strpos($referer, $_SERVER['HTTP_HOST']) === false) {
    // 非本站來源，可返回 403 或預設圖片
    header('HTTP/1.1 403 Forbidden');
    exit('Hotlinking not allowed');
}

安全性與可靠性提醒

• HTTP_* 開頭鍵值 來自客戶端請求標頭，**不可信**，嚴禁直接用於 SQL、Shell、檔案路徑等敏感操作
• HTTP_REFERER、**HTTP_USER_AGENT、HTTP_X_FORWARDED_FOR 皆可輕易偽造
• SERVER_NAME 受虛擬主機設定影響，不如 HTTP_HOST 可靠 (但後者也可偽造)
• CLI 模式下 $_SERVER 缺少 HTTP_* 相關鍵，需判斷 php_sapi_name() === 'cli'

總結

$_SERVER 是 PHP 與伺服器環境溝通的橋樑。熟練掌握 REQUEST_URI、HTTP_HOST、REQUEST_METHOD、REMOTE_ADDR、HTTPS 等高頻鍵值，並謹記 **「客戶端提供的資料不可信」** 原則，能編寫更安全、可攜、高效的 PHP 應用。