本文详解如何利用 .htaccess 将所有 HTTP 请求无损转发至单一 PHP 路由处理器（如 router.php），避免 URL 参数拼接风险，推荐使用 $_SERVER['REQUEST_URI'] 安全获取原始路径，无需手动解析 query string 或构造 url= 参数。
本文详解如何利用 .htaccess 将所有 http 请求无损转发至单一 php 路由处理器（如 router.php），避免 url 参数拼接风险，推荐使用 `$_server['request_uri']` 安全获取原始路径，无需手动解析 query string 或构造 `url=` 参数。
在构建基于 PHP 的轻量级单入口路由系统时，常见的误区是试图将请求路径以查询参数形式（如 router.php?url=register）重写转发——这不仅冗余，更会引发潜在的安全与兼容性问题。正确的做法是：让 .htaccess 静默重写（rewrite）所有非静态资源请求到路由文件，同时完整保留原始请求 URI 和查询字符串，由 PHP 端安全解析。
✅ 推荐的 .htaccess 配置（置于网站根目录）
# 启用重写引擎
RewriteEngine On
# 排除真实存在的文件和目录（如 CSS、JS、图片、子目录等）
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
# 将所有其他请求重写为 router.php，不改变浏览器地址栏，且完整传递 QUERY_STRING
RewriteRule ^(.*)$ router.php [QSA,L]- QSA（Query String Append）标志确保原始 URL 中的查询参数（如 ?redirect=page/category/stuff）自动追加到 router.php 请求中，无需手动拼接；
- L 表示这是最后一条规则，避免后续规则干扰；
- !-f 和 !-d 条件保证真实存在的静态文件（如 /style.css）或目录（如 /uploads/）不受影响，提升性能与兼容性。
✅ 在 router.php 中安全获取原始路径
无需解析 $_GET['url'] —— 该方式易受参数污染、编码歧义及 XSS 间接利用风险。应直接使用：
<?php
// router.php
$requestUri = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH);
$rawQueryString = $_SERVER['QUERY_STRING']; // 如 'redirect=page/category/stuff'
// 示例：路由分发逻辑
switch ($requestUri) {
case '/register':
include 'controllers/register.php';
break;
case '/login':
include 'controllers/login.php';
break;
default:
http_response_code(404);
echo "Route not found";
}? 提示：$_SERVER['REQUEST_URI'] 包含完整的原始请求路径和查询字符串（如 /register?redirect=page/category/stuff），parse_url(..., PHP_URL_PATH) 可安全提取路径部分，完全规避 URL 编码、特殊字符或恶意注入导致的解析错误。
⚠️ 注意事项与最佳实践
- 绝不信任 $_GET 中的路由参数：若仍采用 router.php?url=... 方式，攻击者可构造 ?url=//evil.com/steal.php 或注入空字节、路径遍历序列（如 ../etc/passwd），即使未直接执行，也可能被日志、调试输出或第三方库误处理。
- 启用 mod_rewrite 并确认 .htaccess 生效：在 Apache 配置中确保 AllowOverride All 已为对应目录启用；Nginx 用户需改用 try_files $uri $uri/ /router.php; 配置。
- 开发期快速验证：在 router.php 开头添加 ，访问任意路径即可直观查看原始请求数据。
- 考虑使用现代框架路由机制：对于中大型项目，建议迁移到 Laravel、Symfony 或 Slim 等成熟框架，其内置路由组件已深度防御各类边缘 case。
综上，.htaccess + $_SERVER['REQUEST_URI'] 是简洁、安全、符合 HTTP 规范的路由入口方案——它不修改用户可见 URL，不引入额外参数污染，且天然兼容所有合法查询参数，是 PHP 前端控制器模式的稳健基石。
立即学习“前端免费学习笔记（深入）”；
