PHP不直接监听前端事件，需前端用POST+JSON发送数据，PHP通过file_get_contents('php://input')读取并校验后存入MySQL结构化表，再由前端渲染热力图。
怎么用 PHP 接收前端发来的点击/滚动事件数据
PHP 本身不直接捕获鼠标行为，它只负责接收前端通过 fetch 或 XMLHttpRequest 发来的行为日志。关键不是“PHP 怎么监听”，而是“怎么让前端把数据可靠地打过来，PHP 又怎么不丢、不错地存下来”。
常见错误现象：405 Method Not Allowed（没开 POST）、413 Payload Too Large（单次传太多坐标点）、500 Internal Server Error（没校验 JSON 格式就直接 json_decode）。
- 前端必须用
POST方法，Content-Type: application/json - PHP 脚本开头加
header('Access-Control-Allow-Origin: *');（开发期），生产环境请限制具体域名 - 务必用
file_get_contents('php://input')读原始 body，别依赖$_POST—— 它对 JSON 无效 - 校验
json_last_error()，非法 JSON 直接http_response_code(400)返回，不写入日志
PHP 存储行为数据该用什么格式和结构
别存成大 JSON 文件或单条长文本。热力图需要按页面 URL + 时间窗口 + 坐标范围做聚合查询，结构松散会导致后期查不动。
使用场景：用户在 /product/detail?id=123 页面滚动了 7 次、点击了 3 个按钮，这些动作要能按 page_url 和 timestamp 快速筛选。
立即学习“PHP免费学习笔记（深入）”；
- 推荐 MySQL 表结构：
event_logs含字段：id、page_url（VARCHAR 512）、event_type（ENUM 'click'/'scroll'）、x、y（INT，记录视口坐标）、timestamp（DATETIME）、session_id（CHAR 32） - 避免用
TEXT存坐标数组——后续无法用 WHERE 加索引过滤 - 如果并发高，先写入 Redis 队列（
LPUSH heatlog_queue），再由后台脚本批量刷入 DB，防止写风暴 - 注意时区：PHP
date_default_timezone_set('Asia/Shanghai')，数据库字段用DATETIME不用TIMESTAMP，避免自动转换
为什么不能直接用 PHP 生成热力图图片
PHP 渲染像素级热力图（比如 canvas 导出 PNG）性能差、内存爆表、且无法实时响应缩放/拖拽。这不是 PHP 的活儿。
性能影响：处理一次 1000 条坐标点的聚类+高斯模糊，PHP（GD 扩展）平均耗时 800ms+，而前端 Canvas 或 WebGL 只需 30ms。
- PHP 只提供聚合 API，例如：
/api/heatmap-data?path=/home&from=2024-06-01&to=2024-06-30，返回 JSON 格式的「坐标桶」：[{"x":120,"y":340,"count":27},...] - 前端用
canvas或leaflet.heat库渲染，支持缩放、图层叠加、实时刷新 - 别在 PHP 里调
imagecreatetruecolor画热力图——调试难、缓存难、CDN 不友好 - 如果非得服务端出图（如邮件报表），用 Python +
matplotlib独立服务更稳，PHP 只负责转发请求
跨域、采样与隐私合规容易被忽略的点
上线后第一周常被投诉“热力图不准”，八成卡在这三处：前端没发全、后端悄悄丢数据、法务突然叫停。
- 前端需监听
visibilitychange事件，页面切到后台时暂停采集，否则会收到大量无效scroll（浏览器仍在触发） - 高流量页面必须采样，比如
if (rand(1,100) === 1) { sendLog() }，否则日志量爆炸，DB 写满 -
session_id不能用 PHP 默认的PHPSESSIDcookie——GDPR 要求显式授权；改用前端生成 UUIDv4 存 localStorage，用户拒绝追踪即不发任何日志 - 记录
page_url时过滤敏感参数：preg_replace('/[?&](token|auth|code)=[^&]*/', '', $url)，否则日志库变成密钥泄露温床
真正麻烦的从来不是“怎么画出红黄渐变”，而是“哪些坐标该记、哪些该删、谁允许你记”。数据进得来，还要出得合规、查得高效、删得干净——这三关过了，热力图才算落地。
