PHP 安全导出需校验过滤 URL 参数、加权限检查、防 XSS 文件名；CSV 要加 UTF-8 BOM 并用 fputcsv；Excel 导出优先选流式库；POST 导出须用 fetch/blob 下载，避免 405 错误。
PHP 中如何安全获取 URL 参数并触发导出
直接用 $_GET 或 $_REQUEST 读参数不安全，尤其当参数用于拼接 SQL、文件路径或决定导出内容时。必须先校验、过滤、限制可选值。
- 用
filter_input(INPUT_GET, 'type', FILTER_SANITIZE_STRING)获取并清理字符串参数，再用in_array()判断是否在白名单内（如['user', 'order', 'log']） - 避免用参数拼接 SQL 表名或字段名；应映射到预定义的查询语句或 PDO 预处理语句中
- 导出前加权限检查：比如
if (!has_export_permission($_SESSION['user_id'], $type)) { die('Access denied'); } - 不要把原始参数直接写入
Content-Disposition文件名，否则可能触发 XSS 或文件名截断，用mb_substr($filename, 0, 100, 'UTF-8') . '.csv'控制长度并移除特殊字符
导出 CSV 文件时怎么防止中文乱码和 Excel 打开异常
Excel 默认用 ANSI 编码打开 CSV，而 PHP 输出通常是 UTF-8，直接输出会导致中文显示为方块或乱码。关键不是改编码，而是加 BOM 头 + 正确换行。
- 在
fputcsv()输出前，先用echo "\xEF\xBB\xBF";输出 UTF-8 BOM - 每行数据用
fputcsv($fp, $row, ',', '"', '"')，确保字段含逗号、换行、引号时被正确包裹 - 不要用
echo拼接 CSV 字符串，容易漏转义；也不要手动写\n，用fputcsv自动处理换行符（Windows 下是\r\n，它会自动适配） - 设置响应头顺序不能错：
header('Content-Type: text/csv; charset=utf-8');必须在header('Content-Disposition: attachment; filename="data.csv"');之前，且不能有任何输出（包括空格、BOM、echo）
用 PHP 导出 Excel（.xlsx）该选哪个库，怎么避免内存溢出
小数据量（PhpSpreadsheet，但默认加载全内存，大数据量（如 10w+ 行）必须用流式写入，否则 PHP 内存爆掉或超时。
- 优先用
Box\Spout：轻量、支持 CSV/XLSX/ODS，写 XLSX 时用WriterFactory::create(Type::XLSX)+$writer->openToBrowser($filename)直接流式输出，不占内存 - 若必须用
PhpSpreadsheet，禁用内存缓存：Settings::setCacheStorage(new MemoryStorage());改成Settings::setCacheStorage(new NullStorage());，再用$spreadsheet->getActiveSheet()->fromArray()分批写入（每次 1000 行，然后ob_flush(); flush();） - 导出前调用
set_time_limit(0)和ini_set('memory_limit', '512M')，但只是兜底，不能替代流式设计
POST 请求传参导出时为什么浏览器没反应或报 405 错误
因为浏览器地址栏只能发 GET，而导出逻辑绑在 POST 接口上，前端又没用 JS 提交表单或 fetch，就容易卡住。更常见的是 Nginx/Apache 把 POST 当作非标准请求拦截了。
立即学习“PHP免费学习笔记（深入）”；
- 导出接口统一走 GET，把筛选条件用加密 token 或 base64 编码后塞进 URL（如
?t=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...），后端解码校验，避免暴露敏感参数 - 如果必须 POST，前端要用
fetch或XMLHttpRequest发送，响应类型设为blob，再用URL.createObjectURL()创建下载链接 —— 不要试图用window.location跳转 POST 地址 - Nginx 报 405 通常是因为配置了
limit_except GET {}或启用了 Web 应用防火墙（WAF），检查日志里实际拦截规则，临时关闭 WAF 测试确认
