PHP header() 函數深度詳解：HTTP 狀態碼、重定向、緩存控制、文件下載與常見陷阱

函數原型

header(string $header, bool $replace = true, int $response_code = 0): void

• $replace：true 替換同類 Header（預設），false 允許多個同名 Header
• $response_code：強制設置 HTTP 響應碼（PHP 4.3+）

核心原則：必須在輸出之前調用

<?php
// ❌ 錯誤：前面有空白/HTML/BOM
echo " "; 
header('Location: /'); // Warning: Cannot modify header information

// ✅ 正確：無任何輸出前調用
header('Location: /');
exit;

解決方案：啟用 output_buffering（php.ini 或 ob_start()），或確保文件無 BOM、無前置輸出。

HTTP 狀態碼分類與常用值

實戰場景代碼庫

1. 重定向（最常用）

<?php
// 302 臨時重定向（預設）
header('Location: https://example.com/login');
exit;

// 301 永久重定向（SEO 友好）
header('Location: https://example.com/new-url', true, 301);
exit;

// 相對路徑轉絕對（HTTP/1.1 要求絕對 URI）
$base = "https://{$_SERVER['HTTP_HOST']}" . dirname($_SERVER['PHP_SELF']);
header("Location: {$base}/target.php");
exit;

2. 禁用緩存（動態內容/API 必備）

<?php
// 完整禁用緩存組合拳
header('Cache-Control: no-cache, no-store, must-revalidate, max-age=0'); // HTTP/1.1
header('Pragma: no-cache'); // HTTP/1.0 兼容
header('Expires: Mon, 26 Jul 1997 05:00:00 GMT'); // 過去日期

// 僅驗證緩存（配合 ETag）
header('Cache-Control: no-cache, must-revalidate');
header('ETag: "' . md5($content) . '"');
header('Last-Modified: ' . gmdate('D, d M Y H:i:s') . ' GMT');

3. 文件下載

<?php
$file = '/path/to/report.xlsx';
$filename = '報表_2024.xlsx';

if (!is_file($file)) {
    http_response_code(404);
    exit('文件不存在');
}

$size = filesize($file);
header('Content-Type: application/vnd.openxmlformats-officedocument.spreadsheetml.sheet');
header('Content-Disposition: attachment; filename="' . rawurlencode($filename) . '"; filename*=UTF-8\'\'' . rawurlencode($filename));
header('Content-Length: ' . $size);
header('Accept-Ranges: bytes');
header('Cache-Control: private, max-age=0'); // 私有緩存，不經代理
readfile($file); // 高效輸出大文件
exit;

4. API 響應標準化

<?php
function jsonResponse(array $data, int $code = 200): void
{
    http_response_code($code);
    header('Content-Type: application/json; charset=utf-8');
    header('X-Content-Type-Options: nosniff'); // 防 MIME 嗅探
    echo json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);
    exit;
}

// 使用
jsonResponse(['status' => 'ok', 'data' => $users]);
jsonResponse(['error' => '驗證失敗'], 422);

5. CORS 跨域頭

<?php
// 簡單請求
header('Access-Control-Allow-Origin: https://app.example.com'); // 不要用 * 配合 credentials
header('Access-Control-Allow-Credentials: true');
header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
header('Access-Control-Max-Age: 86400'); // 預檢緩存 1 天

// 預檢請求直接返回
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(204);
    exit;
}

6. 安全相關頭

<?php
header('X-Frame-Options: DENY'); // 禁止 iframe 嵌入
header('X-Content-Type-Options: nosniff'); // 禁用 MIME 嗅探
header('Referrer-Policy: strict-origin-when-cross-origin');
header('Content-Security-Policy: default-src \'self\'; script-src \'self\' https://cdn.example.com; style-src \'self\' \'unsafe-inline\';');
header('Strict-Transport-Security: max-age=31536000; includeSubDomains; preload'); // 僅 HTTPS

特殊 Header 行為

• Location: 自動發送 302（除非已發送 3xx），必須配合 exit 防止後續代碼執行。
• HTTP/1.1 XXX 格式：直接設置狀態行，header('HTTP/1.1 404 Not Found')。
• 多值 Header：header('Set-Cookie: a=1', false); header('Set-Cookie: b=2', false);（$replace=false）。

常見陷阱與避坑

現代框架中的對應

• Laravel: response()->json(), redirect(), download(), 中間件自動處理 CORS/安全頭
• Symfony: Response 物件、HttpFoundation 組件
• Slim/PSR-7: $response->withHeader()、withStatus()

精通 header() 的各類 HTTP 交互細節，是構建健壯 Web 應用、API、文件服務、安全防護的基石。始終記住：Header 先於 Body，狀態碼語義化，緩存策略顯式化，安全頭標準化。