现在的位置: 首页 > 综合 > 正文

PHP 服务器变量

2013年01月24日 ⁄ 综合 ⁄ 共 7268字 ⁄ 字号 小 中 大 ⁄ 评论关闭

PHP $_SERVER 变量

$_SERVER 是一个包含诸如头信息（header）、路径（path）和脚本位置（script locations）的数组。它是 PHP 中一个超级全局变量，我们可以在 PHP 程序的任何地方直接访问它。

$_SERVER 包含着众多的信息，你可以尝试直接打印它：

print_r($_SERVER);

限于篇幅，在此不再列出打印的结果，且不同的服务器上，打印出的结果也是有差异的。

$_SERVER 数组元素

更多情况下，我们只需要 $_SERVER 数组中的某些元素（数组单元）。$_SERVER 数组包含的元素如下：

页面程序相关

  • $_SERVER['PHP_SELF']：相对于网站根目录的路径及
    PHP 程序名称，与 document root 相关。
  • $_SERVER['HTTP_REFERER']：链接到当前页面的前一页面的
    URL 地址。
  • $_SERVER['SCRIPT_NAME']：相对于网站根目录的路径及
    PHP 程序文件名称 。
  • $_SERVER['REQUEST_URI']：访问此页面所需的 URI 。
  • $_SERVER['SCRIPT_FILENAME']：当前运行
    PHP 程序的绝对路径及文件名。
  • $_SERVER['PATH_TRANSLATED']：当前 PHP 程序所在文件系统（不是文档根目录）的基本路径。
  • $_SERVER['QUERY_STRING']：查询（query）的字符串（URL 中第一个问号 ? 之后的内容但不包括 # 后面的内容）。
  • $_SERVER['argv']：传递给当前 PHP 程序的参数。
  • $_SERVER['argc']：命令行模式下，包含传递给程序的命令行参数的个数。
  • $_SERVER['REQUEST_TIME']：请求开始时的时间戳，从 PHP 5.1.0 起有效。
  • $_SERVER['REQUEST_METHOD']：访问页面时的请求方法，例如：“GET”、“HEAD”，“POST”或“PUT”。
  • $_SERVER['HTTP_ACCEPT']：当前请求的 Accept: 头信息的内容。
  • $_SERVER['HTTP_ACCEPT_CHARSET']：当前请求的 Accept-Charset: 头信息的内容。例如：“iso-8859-1,*,utf-8”。
  • $_SERVER['HTTP_ACCEPT_ENCODING']：当前请求的 Accept-Encoding: 头信息的内容。例如：“gzip”。
  • $_SERVER['HTTP_ACCEPT_LANGUAGE']：当前请求的 Accept-Language: 头信息的内容。例如：“zh-cn”。
  • $_SERVER['HTTP_CONNECTION']：当前请求的 Connection: 头信息的内容。例如：“Keep-Alive”。
  • $_SERVER['HTTP_HOST']：当前请求的 Host: 头信息的内容。
  • $_SERVER['HTTPS']：如果 PHP 程序是通过 HTTPS 协议被访问，则被设为一个非空的值。
  • $_SERVER['PHP_AUTH_DIGEST']：当作为 Apache 模块运行时，进行 HTTP Digest 认证的过程中，此变量被设置成客户端发送的“Authorization”HTTP 头内容（以便作进一步的认证操作）。
  • $_SERVER['PHP_AUTH_USER']：当 PHP 运行在 Apache 或 IIS（PHP 5 是 ISAPI）模块方式下，并且正在使用 HTTP 认证功能，这个变量便是用户输入的用户名。
  • $_SERVER['PHP_AUTH_PW']：当 PHP 运行在 Apache 或 IIS（PHP 5 是 ISAPI）模块方式下，并且正在使用 HTTP 认证功能，这个变量便是用户输入的密码。
  • $_SERVER['AUTH_TYPE']：当 PHP 运行在 Apache 模块方式下，并且正在使用 HTTP 认证功能，这个变量便是认证的类型。

服务器端相关

  • $_SERVER['DOCUMENT_ROOT']：当前运行 PHP 程序所在的文档根目录，在服务器配置文件中定义。
  • $_SERVER['GATEWAY_INTERFACE']：服务器使用的 CGI 规范的版本，例如：“CGI/1.1”。
  • $_SERVER['SERVER_ADDR']：当前运行 PHP 程序所在的服务器的 IP 地址。
  • $_SERVER['SERVER_NAME']：当前运行 PHP 程序所在的服务器的名称。
  • $_SERVER['SERVER_ADMIN']：Apache 服务器配置文件中的 SERVER_ADMIN 参数。
  • $_SERVER['SERVER_PORT']：服务器所使用的端口。如果使用 SSL 安全连接，则这个值为用户设置的 HTTP 端口。
  • $_SERVER['SERVER_SIGNATURE']：包含服务器版本和虚拟主机名的字符串。
  • $_SERVER['SERVER_SOFTWARE']：服务器标识的字串，在响应请求时的头信息中给出。
  • $_SERVER['SERVER_PROTOCOL']：请求页面时通信协议的名称和版本，例如：“HTTP/1.0”。

其他杂项

  • $_SERVER['HTTP_USER_AGENT']：当前请求的 User-Agent: 头信息的内容，该字符串表明了访问该页面的用户代理的信息。
  • $_SERVER['REMOTE_ADDR']：正在浏览当前页面用户的 IP 地址。
  • $_SERVER['REMOTE_HOST']：正在浏览当前页面用户的主机名。
  • $_SERVER['REMOTE_PORT']：用户连接到服务器时所使用的端口。

注意，如果以命令行方式运行 PHP，上面列出的元素几乎没有有效的（或是没有任何实际意义的）。

PHP 服务器环境变量 $_ENV

PHP $_ENV 变量

$_ENV 是一个包含服务器端环境变量的数组。它是 PHP 中一个超级全局变量，我们可以在 PHP 程序的任何地方直接访问它。

$_ENV 只是被动的接受服务器端的环境变量并把它们转换为数组元素，你可以尝试直接打印它：

print_r($_ENV);

限于篇幅，在此不再列出打印的结果，且不同的服务器上，打印出的结果可能是完全不同的。

$_ENV 数组元素

$_ENV 数组中的元素（数组单元）随服务器环境不同而有较大差异，所以无法像 $_SERVER 那样列出完整的列表。以下是
$_ENV 数组包含的比较通用的元素：

  • $_SERVER['PATH']：环境变量 PATH 路径。
  • $_SERVER['CLASSPATH']：系统 CLASSPATH 路径。
  • $_SERVER['LIB']：系统 LIB 库路径。
  • $_SERVER['INCLUDE']：系统 Include 路径，注意与 PHP 的包含路径是不一样的。
  • $_SERVER['OS']：操作系统类型。
  • $_SERVER['LANG']：系统语言，如 en_US 或 zh_CN。
  • $_SERVER['PWD']：当前工作目录。
  • $_SERVER['TEMP']：系统 TEMP 路径。
  • $_SERVER['AP_PARENT_PID']：当前进程 ID 号。
  • $_SERVER['NUMBER_OF_PROCESSORS']：系统 CPU 数目。

$_ENV 为空的原因及解决办法

如果打印输出 $_ENV 为空，可以检查一下 php.ini 的配置：

variables_order = "EGPCS"

上述配置表示 PHP 接受的外部变量来源及顺序，EGPCS 是 Environment、Get、Post、Cookies 和 Server 的缩写。如果 variables_order 的配置中缺少 E ，则 PHP 无法接受环境变量，那么 $_ENV 也就为空了。

PHP 使用 $_SERVER['PHP_SELF'] 获取当前页面地址及其安全性问题

PHP $_SERVER['PHP_SELF']

$_SERVER['PHP_SELF'] 表示当前 php 文件相对于网站根目录的位置地址，与 document root 相关。

假设我们有如下网址，$_SERVER['PHP_SELF']得到的结果分别为：

http://www.5idev.com/php/ ：/php/index.php
http://www.5idev.com/php/index.php ：/php/index.php
http://www.5idev.com/php/index.php?test=foo ：/php/index.php
http://www.5idev.com/php/index.php/test/foo ：/php/index.php/test/foo

因此，可以使用 $_SERVER['PHP_SELF'] 很方便的获取当前页面的地址：

$url = "http://".$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF'];

以上面的地址为例，得到的结果如下：

http://www.5idev.com/php/index.php

上面是简单获取 http 协议的当前页面 URL ，只是要注意该地址是不包含 URL 中请求的参数（?及后面的字串）的。如果希望得到包含请求参数的完整 URL 地址，请使用 $_SERVER['REQUEST_URI'] 。

PHP $_SERVER['PHP_SELF'] 安全性

由于利用 $_SERVER['PHP_SELF'] 可以很方便的获取当前页面地址，因此一些程序员在提交表单数据到当前页面进行处理时，往往喜欢使用如下这种方式：

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">

假设该页面地址为：

http://www.5idev.com/php/index.php

访问该页面，得到的表单 html 代码如下：

<form method="post" action="/php/index.php">

这段代码是正确的，但是当访问地址变成：

http://www.5idev.com/php/index.php/test/foo

页面正常执行了，表单 html 代码变成：

<form method="post" action="/php/index.php/test/foo">

显然这段代码不是我们期望的，攻击者可以在 URL 后面随意加上攻击代码。要解决该问题，可以：

  1. 使用 htmlentities($_SERVER['PHP_SELF']) 替代 $_SERVER['PHP_SELF']，让 URL 中可能的恶意代码转换为用于显示的 html 代码而无法执行。
  2. 可以的条件下，使用 $_SERVER['SCRIPT_NAME'] 或 $_SERVER['REQUEST_URI'] 替代 $_SERVER['PHP_SELF']
  3. 在公共代码里将 $_SERVER['PHP_SELF'] 进行重写：
$phpfile = basename(__FILE__);
$_SERVER['PHP_SELF'] = substr($_SERVER['PHP_SELF'], 0, strpos($_SERVER['PHP_SELF'], $phpfile)).$phpfile;

PHP $_SERVER['HTTP_REFERER'] 获取前一页面的 URL 地址

PHP $_SERVER['HTTP_REFERER']

使用 $_SERVER['HTTP_REFERER'] 将很容易得到链接到当前页面的前一页面的地址。一个例子如下：

index.php（实际地址为：http://www.5idev.com/php/index.php）：

<a href="test.php">链接</a>

test.php（实际地址为：http://www.5idev.com/php/test.php）：

echo $_SERVER['HTTP_REFERER'];

在浏览器访问 index.php，点击链接到 test.php，得到的输出结果为：

http://www.5idev.com/php/index.php

PHP $_SERVER['HTTP_REFERER'] 无效

需要注意的是，$_SERVER['HTTP_REFERER'] 完全来源于浏览器。并不是所有的用户代理（浏览器）都会设置这个变量，而且有的还可以手工修改 HTTP_REFERER。因此，$_SERVER['HTTP_REFERER'] 不总是真实正确的。

通常下面的一些方式，$_SERVER['HTTP_REFERER'] 会无效：

  1. 直接输入网址访问该网页。
  2. Javascript 打开的网址。
  3. Javascript 重定向（window.location）网址。
  4. 使用 meta
    refresh     重定向的网址。
  5. 使用 PHP header 重定向的网址。
  6. flash 中的链接。
  7. 浏览器未加设置或被用户修改。

所以一般来说，只有通过 <a></a> 超链接以及 POST 或 GET 表单访问的页面，$_SERVER['HTTP_REFERER']
才有效。

由于 $_SERVER['HTTP_REFERER'] 对 POST 表单访问也是有效的，因此在表单数据处理页面一定程度上可以通过校验 $_SERVER['HTTP_REFERER'] 来防止表单数据的恶意提交。但该方法并不能保证表单数据的绝对正确，即对表单数据的真实性检测并不能完全依赖于 $_SERVER['HTTP_REFERER'] 。

PHP $_SERVER['PHP_SELF']、$_SERVER['SCRIPT_NAME'] 与 $_SERVER['REQUEST_URI'] 之间的区别

PHP $_SERVER['PHP_SELF']、$_SERVER['SCRIPT_NAME'] 与 $_SERVER['REQUEST_URI']

$_SERVER['PHP_SELF']、$_SERVER['SCRIPT_NAME'] 与 $_SERVER['REQUEST_URI'] 三者非常相似，返回的都是与当前 URL 或 PHP 程序文件相关的信息：

  1. $_SERVER['PHP_SELF']：相对于网站根目录的路径及
    PHP 程序名称。
  2. $_SERVER['SCRIPT_NAME']：相对于网站根目录的路径及 PHP 程序文件名称。
  3. $_SERVER['REQUEST_URI']：访问此页面所需的 URI 。

一个简单的例子可以看出它们的区别。URL 地址如下：

http://www.5idev.com/php/index.php/test/foo?username=hbolive
  • $_SERVER['PHP_SELF'] 得到：/php/index.php/test/foo
  • $_SERVER['SCRIPT_NAME'] 得到：/php/index.php
  • $_SERVER['REQUEST_URI'] 得到：/php/index.php/test/foo?username=hbolive

从该例子可以看出:

  1. $_SERVER['PHP_SELF'] 则反映的是 PHP 程序本身；
  2. $_SERVER['SCRIPT_NAME'] 反映的是程序文件本身（这在页面需要指向自己时非常有用）；
  3. $_SERVER['REQUEST_URI'] 则反映了完整 URL 地址（不包括主机名）。

其实从各自的命名上，也可以体现出它们之间的细微差别。

特别的，对于如下地址：

http://www.5idev.com/
  • $_SERVER['PHP_SELF'] 得到：/index.php
  • $_SERVER['SCRIPT_NAME'] 得到：/index.php
  • $_SERVER['REQUEST_URI'] 得到：/

至于有人提到 $_SERVER['PHP_SELF'] 与 $_SERVER['SCRIPT_NAME'] 在 PHP 以 CGI 模式运行下会有区别。由于 PHP 在 CGI 模式运行下并不多见，测试较为麻烦，在此就不再叙述了。如有这种情况，可注意并自行测试。

希望在理解了它们之间的区别之后，以便选择更适合自己程序的来使用。

PHP $_SERVER['SCRIPT_FILENAME'] 与 __FILE__ 的区别

PHP $_SERVER['SCRIPT_FILENAME'] 与 __FILE__

通常情况下，PHP $_SERVER['SCRIPT_FILENAME'] 与 __FILE__ 都会返回 PHP 文件的完整路径（绝对路径）与文件名：

<?php
echo 'SCRIPT_FILENAME 为：',$_SERVER['SCRIPT_FILENAME'];
echo '<br />';
echo '__FILE__ 为：',__FILE__;
?>

上述测试代码拷贝至 test.php 并访问该文件（http://127.0.0.1/php/test.php），得到如下结果：

SCRIPT_FILENAME 为：E:/web/html/php/test.php
__FILE__ 为：E:\web\html\php\test.php

提示：在 windows 平台测试，得到结果如上所示可能会出现路径分隔符的细微差别。

$_SERVER['SCRIPT_FILENAME'] 与 __FILE__ 区别

尽管 $_SERVER['SCRIPT_FILENAME'] 与 __FILE__ 非常相似，但在文件被 include
或 require 包含的时候，二者还是有细微区别。

将上述测试代码拷贝至 E:\web\html\php\common\inc.php ，然后在刚才的 test.php 文件内包含 inc.php ：

<?php
include 'common/inc.php';
?>

这时候再访问 test.php 文件时，输出结果：

SCRIPT_FILENAME 为：E:/web/html/php/test.php
__FILE__ 为：E:\web\html\php\common\test.php

可见二者的差别是：$_SERVER['SCRIPT_FILENAME'] 反映的是当前执行程序的绝对路径及文件名；__FILE__ 反映的是原始文件（被包含文件）的绝对路径及文件名。

返回
【上篇】
【下篇】

作者:

抱歉!评论已关闭.

返回首页

Copyright © 2013-2018 学步园  保留所有权利.
软文销售 QQ客服：2265327166 点击这里给我发消息（其他合作也可洽谈）
必威体育
必威电竞