PHP实现RESTful API需团队约定而非语言强制：统一入口校验路径格式与HTTP方法，禁用动词路径，限制URL层级，强制复数资源名，严格匹配状态码语义（如201用于创建、204用于删除），封装json_encode()并预检数据合法性，统一响应函数过滤敏感字段。
PHP本身不强制任何API风格，所谓“统一RESTful规范”不是靠语言特性实现的，而是团队在路由设计、状态码使用、请求/响应结构上达成的一致约定。没这个共识，光写json_encode()和header('Content-Type: application/json')只是JSON接口，不是RESTful。
怎么让团队真正按RESTful写，而不是各自为政
靠文档不如靠约束。最有效的办法是：用一个统一入口文件（如api.php）接管所有请求，并在分发前强制校验路径格式与方法组合。
- 拒绝动词路径：
/api/getUser、/api/delete_order这类必须404或重定向到标准资源路径 - 路径只允许两层深度：
/api/v1/users✅，/api/v1/users/123/orders/456/items❌（子资源超两层就改用查询参数或单独接口） - 强制复数名词：
/api/v1/user直接返回400，要求改成/api/v1/users - 对
PATCH请求额外检查是否含Content-Type: application/json，否则拒收——很多前端库默认发text/plain导致静默失败
为什么http_response_code(200)不能当万能返回码用
200表示“请求已成功处理并返回了预期内容”，但它掩盖了语义差异。比如创建用户后返回200，前端无法区分这是“查到了已有用户”还是“刚新建了一个”，也就没法自动跳转或清空表单。
- POST 成功创建资源 → 必须用
http_response_code(201)，且带Location: /api/v1/users/123头 - DELETE 成功 → 用
http_response_code(204)，不返回任何响应体（别再echo '{}'） - GET 查询无结果 → 根据业务选
204（空集合合理）或404（资源根本不存在），不能统一200+空data - 所有非2xx/3xx响应，必须确保
Content-Type仍是application/json，否则Nginx或CDN可能拒绝缓存或透传错误
怎么避免json_encode()悄悄失败却没报错
json_encode()遇到不可序列化对象（比如PDO实例、Closure、资源句柄）会静默返回false，而echo false输出空字符串，前端收到空响应，排查时容易误判为网络问题。
立即学习“PHP免费学习笔记（深入）”；
- 每次调用后立刻检查：
if (json_last_error() !== JSON_ERROR_NONE) { http_response_code(500); echo json_encode(['code'=>500,'message'=>'JSON encode failed']); exit; } - 禁止直接
echo $data，必须封装成统一响应函数，例如sendJsonResponse($data, $statusCode = 200) - 对数组键名做预检：含中文、空格、点号（.）、斜杠（/）的键名会导致
json_encode()失败，提前array_keys()过滤或抛出400 - 敏感字段（如
password_hash、api_token）必须在进入json_encode()前从数组中unset()，别指望前端不看
真正的统一不在代码层面，而在每个switch($_SERVER['REQUEST_METHOD'])分支里，是否都检查了Content-Type、是否都调用了同一个sendJsonResponse()、是否所有404都来自同一处逻辑。这些细节没人盯着就容易滑回“能跑就行”的老路。
