PHP $_SERVER 伺服器變數完整解析與實務應用指南

$_SERVER 是 PHP 中最重要的超全域變數之一，包含了伺服器環境、請求資訊與執行上下文等關鍵資料。本文系統整理 32 個常用鍵值的用途與範例。

腳本與請求基礎資訊

伺服器環境資訊

客戶端與網路資訊

HTTP 標頭資訊 (HTTP_* 開頭)

所有 HTTP 請求標頭會自動轉換為 HTTP_ 前綴、大寫、底線格式：

• HTTP_ACCEPT - 可接受的內容型態
• HTTP_ACCEPT_CHARSET - 可接受字元集
• HTTP_ACCEPT_ENCODING - 可接受編碼 (gzip, deflate)
• HTTP_ACCEPT_LANGUAGE - 可接受語言
• HTTP_CONNECTION - 連線類型 (keep-alive)
• HTTP_COOKIE - Cookie 內容

HTTP 認證相關

實務應用範例

// 取得客戶端真實 IP (考慮代理)
function getClientIP() {
    $keys = ['HTTP_X_FORWARDED_FOR', 'HTTP_CLIENT_IP', 'REMOTE_ADDR'];
    foreach ($keys as $key) {
        if (!empty($_SERVER[$key])) {
            $ips = explode(',', $_SERVER[$key]);
            return trim($ips[0]);
        }
    }
    return 'unknown';
}

// 判斷是否為 AJAX 請求
function isAjax() {
    return isset($_SERVER['HTTP_X_REQUESTED_WITH']) 
        && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest';
}

// 建立完整 URL
function getFullUrl() {
    $protocol = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ? 'https' : 'http';
    return $protocol . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
}

安全性提醒

• 不可信任：HTTP_REFERER、HTTP_USER_AGENT、HTTP_X_FORWARDED_FOR 等客戶端可偽造
• 較可信：REMOTE_ADDR、REQUEST_METHOD、SERVER_* 等伺服器端變數
• 輸出前務必使用 htmlspecialchars() 防止 XSS