ThinkPHP获取当前完整URL的正确方法是组合$_SERVER['HTTPS']、$_SERVER['HTTP_X_FORWARDED_PROTO']判断协议，$_SERVER['HTTP_HOST']获取主机，$_SERVER['REQUEST_URI']获取路径及查询字符串，再拼接并转义防XSS。
ThinkPHP 获取当前网页完整 URL，新手最常掉进的坑不是“不会写”，而是混淆了服务器路径和浏览器地址。你写的代码可能语法完全正确，但输出的却是 /var/www/html/index.php 这类文件系统路径，或者只拿到 /user/profile 这种重写后的路由片段，根本不是用户在地址栏里看到的那个完整网址（比如 https://example.com/user/profile?tab=info）。
把 $_GET['url'] 当成当前网址 —— 最典型的误解
很多新手在用 ThinkPHP 做单入口（如 index.php 入口 + .htaccess 重写）时，看到 URL 是 /user/123，就以为 $_GET['url'] 就是这个值，再拼个 http:// 就是完整 URL。错在这里：
-
$_GET['url']是重写规则人为塞进去的参数，比如RewriteRule ^(.+)$ index.php?url=$1，它只包含路径部分（user/123），不含协议、域名、查询字符串； - 它甚至可能被用户手动篡改（比如访问
?url=javascript:alert(1)），直接拼接输出有 XSS 风险； - 如果当前请求是根路径
/或带查询参数/search?q=php，$_GET['url']通常拿不到完整REQUEST_URI，容易漏掉?q=php。
依赖 PHP_SELF 或 SCRIPT_NAME 拼 URL —— 安全但不准确
有人用 $_SERVER['PHP_SELF'] 或 $_SERVER['SCRIPT_NAME'] 拼协议和主机，比如：
http://'.$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF'].'?'.$_SERVER['QUERY_STRING'].'
立即学习“PHP免费学习笔记（深入）”；
这看起来能跑通，但问题在于：
-
PHP_SELF在 Apache + mod_rewrite 下可能返回原始脚本名（/index.php），而不是用户看到的路径（/user/123）； -
SCRIPT_NAME更稳定，但它也不含查询字符串，得额外拼QUERY_STRING，而REQUEST_URI本身已自带，更省事也更可靠； - 没处理 HTTPS 判断，本地调试用
http://硬编码，上线后 HTTPS 页面会变成混合内容警告。
忽略反向代理和 HTTPS 检测 —— 本地能跑，线上翻车
直接用 $_SERVER['HTTPS'] === 'on' 判断协议，在 Nginx + PHP-FPM 或 Cloudflare 等反向代理环境下大概率失效。因为真实请求是 HTTP，代理转发时才加 HTTPS 头。正确做法是同时检查：
-
$_SERVER['HTTPS']（Apache 直连）； -
$_SERVER['HTTP_X_FORWARDED_PROTO']（常见于 Nginx、Cloudflare、AWS ALB）； - 若两者都不可靠，可 fallback 到
$_SERVER['SERVER_PORT'] == 443，但不如前两者通用。
ThinkPHP 自带常量不能直接当 URL 用
新手常查文档看到 __ROOT__、__SELF__、__APP__ 这些常量，就以为它们能拼出完整 URL：
-
__ROOT__是项目根目录对应的 Web 可访问路径（如/myapp），不是域名； -
__SELF__是当前请求的相对路径（如/index.php/user/list），不含协议和主机； - 它们设计初衷是生成静态资源链接或内部跳转，不是用来构造对外展示的完整 URL 的。
真正安全、通用、一行能搞定的方式，是组合 $_SERVER 中三个关键字段：
$scheme = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') || (!empty($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') ? 'https' : 'http';$host = $_SERVER['HTTP_HOST'] ?? $_SERVER['SERVER_NAME'];$uri = $_SERVER['REQUEST_URI'] ?? '/';$current_url = $scheme . '://' . $host . $uri;
输出前记得 htmlspecialchars($current_url, ENT_QUOTES, 'UTF-8')，防止 XSS。这个逻辑适用于 ThinkPHP 任何版本，也不依赖框架封装，干净利落。
