PHP $_SERVER 超全域變數完整參數詳解與實戰應用指南

$_SERVER 變數分類速查表

實戰應用場景

1. 取得客戶端真實 IP（含代理/負載均衡器）

<?php
function getClientIP() {
    $headers = ['HTTP_X_FORWARDED_FOR', 'HTTP_X_REAL_IP', 'HTTP_CLIENT_IP'];
    foreach ($headers as $h) {
        if (!empty($_SERVER[$h])) {
            $ips = explode(',', $_SERVER[$h]);
            return trim($ips[0]); // 取第一個
        }
    }
    return $_SERVER['REMOTE_ADDR'] ?? 'unknown';
}
?>

2. 判斷請求類型

<?php
$isAjax = (!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest');
$isPost = ($_SERVER['REQUEST_METHOD'] ?? '') === 'POST';
$isHttps = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') || ($_SERVER['SERVER_PORT'] ?? 80) == 443;
?>

3. 構建當前完整 URL

<?php
$protocol = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ? 'https' : 'http';
$host = $_SERVER['HTTP_HOST'] ?? $_SERVER['SERVER_NAME'];
$uri = $_SERVER['REQUEST_URI'] ?? '';
$currentUrl = $protocol . '://' . $host . $uri;
?>

4. 防盜鏈 / 來源檢查

<?php
$referer = $_SERVER['HTTP_REFERER'] ?? '';
$allowedDomains = ['example.com', 'api.example.com'];
$refererHost = parse_url($referer, PHP_URL_HOST) ?? '';
if (!in_array($refererHost, $allowedDomains, true)) {
    http_response_code(403);
    exit('Forbidden');
}
?>

5. CLI 模式參數處理

<?php
if (php_sapi_name() === 'cli') {
    global $argv, $argc;
    // $argv[0] 是腳本名稱
    for ($i = 1; $i < $argc; $i++) {
        echo "Arg $i: {$argv[$i]}\n";
    }
}
?>

安全性注意事項

1. 不可信任：HTTP_* 開頭變數來自客戶端請求標頭，**可任意偽造**，嚴禁直接用於權限判斷、SQL 拼接、檔案路徑構建。
2. REMOTE_ADDR 在反向代理後為代理 IP，需配合 X-Forwarded-For 並**驗證代理可信來源**。
3. REQUEST_URI、PHP_SELF 包含用戶輸入，輸出到 HTML 時必須 htmlspecialchars() 防 XSS。
4. argv/argc 僅 CLI 可用，Web 模式下不存在或為空。

常見陷阱

總結

$_SERVER 是 PHP 與 Web 伺服器溝通的核心橋樑，掌握各鍵名含義、來源可信度與典型應用模式，能編寫更健壯、安全的應用。記住：**所有 HTTP_* 變數皆來自客戶端，必須驗證後使用**。