header()跳转需手动拼接并urlencode参数，用http_build_query()安全生成URL，目标地址须为绝对路径，跳转前禁止任何输出，接收端须过滤校验GET参数。
header() 跳转时 URL 参数必须手动拼接
PHP 的 header() 本身不处理参数，它只发一个原始 HTTP 响应头。想传参，就得自己把参数拼进目标 URL 里，不能指望函数自动帮你编码或附加。
常见错误是直接写 header("Location: target.php?name=张三&city=北京") —— 中文会乱码，空格变 +，特殊符号（如 &、=）可能破坏 URL 结构。
- 用
http_build_query()拼接参数，它会自动urlencode()所有值 - 目标 URL 必须是绝对路径或带协议的完整地址（如
/login.php或https://example.com/go.php），相对路径在某些 SAPI（如 CLI）下会失效 - 跳转前确保没任何输出（包括空格、BOM、
echo），否则报Warning: Cannot modify header information
$params = ['name' => '张三', 'token' => 'abc-123', 'from' => 'search'];
$url = '/dashboard.php?' . http_build_query($params);
header("Location: $url");
exit;
中文、数组、布尔值传参要小心类型转换
http_build_query() 对数组支持好，但对 null、false、0 这类“假值”默认转成空字符串或不出现，容易导致接收端逻辑出错。
- 显式转换布尔值：
'active' => $isActive ? '1' : '0'，避免active=空值 - 数组参数会被自动展开为
ids[]=1&ids[]=2形式，接收端用$_GET['ids']就是数组，无需额外解析 - 中文名字段（如
姓名）不要直接当键名，改用英文别名（real_name），否则 URL 不规范且部分代理可能截断
跳转后 GET 参数在目标页怎么安全读取
接收端不能无条件信任 $_GET，尤其当参数来自跳转（可能被用户篡改或重放）。
立即学习“PHP免费学习笔记（深入）”；
- 逐个过滤：用
filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT)处理 ID 类参数 - 白名单校验：比如
status只允许pending/done，用in_array($_GET['status'] ?? '', ['pending', 'done']) - 敏感参数（如 token、redirect_url）建议用 session 中转，而不是暴露在 URL 里
- 避免把密码、密钥、权限标识等直接塞进跳转链接
header() 跳转和 meta refresh 的关键区别
有人图省事用 <meta http-equiv="refresh" content="0;url=..."> 替代 header()，但这是退化方案。
-
header()是服务端跳转，URL 地址栏立即更新，SEO 友好，且能正确传递 Referer -
meta refresh是客户端跳转，中间有 JS 执行间隙，Referer 可能丢失，某些浏览器会拦截“快速跳转” - 如果已输出内容无法用
header()，优先考虑exit(header(...))提前终止；实在不行再用meta，并加<a href="...">点击跳转</a>作降级
header() 就万事大吉，其实参数编码、空值处理、服务端校验、Referer 行为这些细节，漏掉一个就可能让跳转链在特定环境或攻击场景下失效。 
