PHP中header()的七种用法

'# PHP中header()的七种用法

一、背景与问题

在PHP开发中，header()函数是处理HTTP响应头的核心工具。它允许开发者直接向浏览器发送HTTP头信息，但其使用存在诸多限制和潜在风险。本文将深入探讨header()的七种典型用法，从底层原理到实际应用，结合真实开发场景和代码示例，揭示其工作机理和最佳实践。

二、基本原理

PHP通过header()函数发送HTTP头信息时，会通过底层的php_http_send_headers()函数调用底层的HTTP模块。需要注意以下关键点：

1. 头信息发送时机：header()必须在任何输出（包括空格、换行符）之前调用，否则会抛出headers already sent的致命错误。
2. 头信息格式：每个头信息必须以Header-Name: Header-Value格式发送，且必须以换行符分隔。
3. 头信息覆盖：相同名称的头信息会被后发送的覆盖，但部分头信息（如Location）有特殊处理逻辑。
4. HTTP/1.1规范：现代浏览器默认使用HTTP/1.1，需注意Connection: close等特殊头信息的处理。

三、环境准备

# 安装PHP开发环境
sudo apt install php php-cli

<?php
// 测试环境配置
php -v

四、核心实现

1. 基础重定向（302跳转）

<?php
// 严格模式
header("Location: https://example.com");
exit;

关键点解释：

• Location头必须配合302状态码使用
• exit()确保后续代码不执行
• 需要确保php.ini中display_errors设置为Off以避免输出干扰

常见错误：

header("Location: /index.php"); // 错误：未指定完整URL

解决方法：

header("Location: https://".$_SERVER['HTTP_HOST']."/index.php");

2. 设置Content-Type

<?php
header("Content-Type: application/json; charset=utf-8");
echo json_encode(["status" => "success"]);

原理分析：

• 告诉浏览器返回数据类型为JSON
• charset=utf-8指定字符编码
• 未设置时默认为text/html

性能优化：

header("Content-Type: application/json");
header("Cache-Control: no-cache, must-revalidate");
header("Pragma: no-cache");

3. 设置Cookie

<?php
setcookie("user", "john_doe", time()+3600, "/");

底层实现：

header("Set-Cookie: user=john_doe; Path=/; HttpOnly; Secure");

安全注意事项：

• HttpOnly防止XSS攻击
• Secure仅通过HTTPS传输
• Path控制Cookie作用域

4. 缓存控制

<?php
header("Cache-Control: no-cache, no-store, must-revalidate");
header("Pragma: no-cache");
header("Expires: 0");

性能优化：

header("Cache-Control: public, max-age=3600");

5. 设置Last-Modified

<?php
$timestamp = filemtime("data.txt");
header("Last-Modified: ".date("r", $timestamp));

客户端验证：

if (isset($_SERVER['If-Modified-Since'])) {
    $clientTimestamp = strtotime($_SERVER['If-Modified-Since']);
    if ($clientTimestamp >= $timestamp) {
        header("HTTP/1.1 304 Not Modified");
        exit;
    }
}

6. 处理错误响应

<?php
header("HTTP/1.1 404 Not Found");
header("Content-Type: text/plain");
echo "Page not found";

规范要求：

• 状态码必须以HTTP/1.x格式发送
• 4xx/5xx状态码需配合相应内容

7. 安全响应头

<?php
header("X-Content-Type-Options: nosniff");
header("X-Frame-Options: DENY");
header("X-XSS-Protection: 1; mode=block");

安全防护：

• X-Content-Type-Options防止MIME类型嗅探
• X-Frame-Options防止点击劫持
• X-XSS-Protection启用浏览器XSS过滤

五、完整案例

1. 安全文件下载系统

<?php
// 文件路径
$filePath = "uploads/document.pdf";

// 验证权限
if (!file_exists($filePath) || !is_readable($filePath)) {
    header("HTTP/1.1 403 Forbidden");
    exit("Access denied");
}

// 设置响应头
header("Content-Type: application/pdf");
header("Content-Disposition: attachment; filename=document.pdf");
header("Content-Length: " . filesize($filePath));
header("Cache-Control: public, max-age=3600");

// 读取文件
readfile($filePath);

关键点说明：

• 使用readfile()避免内存溢出
• 设置Content-Length优化传输效率
• Content-Disposition: attachment强制下载

六、源码解析

在php-src/htdocs/header.php中，header()函数的实现逻辑如下：

PHP_FUNCTION(header)
{
    char *header = NULL;
    size_t header_len = 0;
    char *header_str = NULL;
    size_t header_str_len = 0;
    char *header_buffer = NULL;
    size_t header_buffer_len = 0;
    int i;

    if (zend_parse_parameters(ZEND_NUM_ARGS(), "s", &header, &header_len) == FAILURE) {
        return;
    }

    // 处理多行头
    for (i = 0; i < header_len; i++) {
        if (header[i] == '\r' || header[i] == '\n') {
            // 处理换行符
        }
    }

    // 调用底层发送函数
    php_http_send_headers(header, header_len);
}

七、进阶使用

1. 跨域资源共享(CORS)

header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Methods: GET, POST");
header("Access-Control-Allow-Headers: Content-Type");

2. 响应压缩

if (substr_count($_SERVER['HTTP_ACCEPT_ENCODING'], 'gzip')) {
    ob_start("ob_gzhandler");
}

3. 自定义头信息

header("X-Request-ID: ".uniqid());

八、性能与工程实践

1. 性能优化策略

• 合并头信息减少HTTP头大小
• 使用Vary头优化缓存
• 通过ETag和Last-Modified实现条件请求

2. 异常处理

try {
    // 处理敏感操作
} catch (Exception $e) {
    header("HTTP/1.1 500 Internal Server Error");
    echo "Server error";
}

3. 安全加固

• 避免设置敏感头信息（如X-AspNet-Version）
• 使用header()前检查headers_sent()函数
• 对头信息进行严格校验

九、常见问题与踩坑

1. 头信息发送顺序

// 错误示例
echo "Hello"; // 错误：输出已发送
header("Location: /");

2. 编码问题

header("Content-Type: text/html; charset=utf-8");

3. 缓存策略冲突

header("Cache-Control: public, max-age=3600");
header("Cache-Control: no-cache"); // 被覆盖

4. 安全头缺失

// 安全风险：未设置Content-Security-Policy

十、最佳实践

1. 优先使用header()处理HTTP状态码和内容类型
2. 在API开发中设置Content-Type和Access-Control-*头
3. 对于文件下载设置完整的响应头
4. 在安全敏感场景添加安全响应头
5. 避免在header()中传递敏感信息
6. 使用headers_list()检查已发送头信息
7. 对敏感头信息进行校验和过滤

十一、总结

header()函数是PHP中处理HTTP响应的核心工具，其正确使用直接影响到系统的性能、安全性和用户体验。通过本文的深入探讨，我们了解到：

• header()必须在任何输出之前调用
• 不同的头信息有不同的处理机制
• 需要综合考虑安全、性能和兼容性
• 应该遵循RESTful规范设置响应头
• 要避免常见的陷阱和错误

在实际开发中，建议结合具体业务场景选择合适的头信息设置策略，对于涉及安全、缓存、跨域等场景，应特别注意头信息的配置。通过合理的header()使用，可以显著提升系统的稳定性和安全性。