本文目录导读：
** PHP域名识别全攻略：从入门到精通，一文搞定域名解析与安全校验
目录导读：
- 什么是PHP域名识别？——基础概念与核心场景
- PHP识别用户当前访问域名的三种核心方法（$_SERVER['HTTP_HOST'] vs $_SERVER['SERVER_NAME']）
- 域名安全校验：防止HTTP_HOST注入攻击与恶意请求
- 实战：多域名动态路由与泛域名解析（通配符识别）
- 常见问题Q&A：为什么获取的域名带了端口？如何识别主域与子域？
什么是PHP域名识别？——基础概念与核心场景
在Web开发中,“PHP域名识别”指的是通过服务端脚本（PHP）动态获取当前请求所对应的域名（Host）、协议以及子域名信息，这在以下场景中至关重要：
- 多站点系统：一套代码部署多个域名，根据域名显示不同内容（如企业站群）。
- URL签名与防篡改：生成带域名绑定的签名，防止链接被跨域盗用。
- SEO与地域重定向：根据域名判断国家/地区，自动跳转对应语言版本。
- 安全风控：检测请求是否来自被允许的域名（防止CSRF或API滥用）。
PHP本身没有专门的“域名函数”，但超全局变量$_SERVER中包含了全部请求头信息，我们可以从中提取。
PHP识别用户当前访问域名的三种核心方法
方法A：使用 $_SERVER['HTTP_HOST']（最常用）
$host = $_SERVER['HTTP_HOST']; // 输出：example.com 或 www.example.com:8080
- 优点：包含客户端请求中的完整Host头，包括端口号（如果用户显式指定）。
- 注意：该值由用户浏览器发送，不可信任（可被伪造），适合展示或路由，但不能直接用于安全判断。
方法B：使用 $_SERVER['SERVER_NAME']（更可靠）
$serverName = $_SERVER['SERVER_NAME']; // 通常是服务器配置的虚拟主机名，不含端口
- 优点：基于服务器端虚拟主机配置，比HTTP_HOST更稳定。
- 缺点：在Apache/nginx配置忽略Host头时，可能返回IP地址。
方法C：结合parse_url()处理完整URL（适合后台回调）
$fullUrl = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? "https" : "http") . "://$_SERVER[HTTP_HOST]$_SERVER[REQUEST_URI]"; $domain = parse_url($fullUrl, PHP_URL_HOST); // 提取无端口域名
最佳实践：日常路由用HTTP_HOST；安全校验必须用SERVER_NAME或手动白名单比对。
域名安全校验：防止HTTP_HOST注入攻击与恶意请求
风险提示：如果直接使用HTTP_HOST拼接到SQL或重定向中，黑客可伪造Host头进行投毒或缓存污染。
正确的安全校验代码示例（白名单机制）：
$allowedDomains = ['example.com', 'www.example.com', 'sub.example.com'];
$httpHost = $_SERVER['HTTP_HOST'] ?? '';
// 移除端口号（提取纯域名）
$hostWithoutPort = preg_replace('/:\d+$/', '', $httpHost);
if (!in_array($hostWithoutPort, $allowedDomains, true)) {
http_response_code(403);
exit('Forbidden: Domain not allowed');
}
// 后续业务逻辑...
进阶：动态子域名校验（正则表达式）
if (preg_match('/^[a-z0-9]+\.example\.com$/', $hostWithoutPort)) {
// 允许任意一级子域名
}
实战：多域名动态路由与泛域名解析（通配符识别）
场景：用户访问 user1.mysite.com 和 user2.mysite.com，PHP自动提取子域名作为用户名。
$host = $_SERVER['HTTP_HOST'];
// 移除主域名 ".mysite.com" 得到子域部分
$mainDomain = 'mysite.com';
$subDomain = str_replace('.' . $mainDomain, '', $host);
if ($subDomain !== $host) { // 说明确实是子域名
$username = $subDomain; // 输出 user1 或 user2
// 根据用户名加载对应数据库配置
} else {
// 访问的是主域名，走默认逻辑
}
// 记得将请求的域名转换为小写，避免大小写歧义
$host = strtolower($host);
注意泛域名解析前提：DNS需配置*.mysite.com解析到服务器IP，且Web服务器（nginx/apache）需开启通配符server_name。
常见问题Q&A
Q1：为什么我通过 $_SERVER['HTTP_HOST'] 获取的域名有时带端口号？
A：这是正常的，当用户在浏览器地址栏手动输入 example.com:8080 时，服务器收到Host头即包含端口，建议使用正则剥离端口号（如preg_replace('/:\d+$/', '', $host)），除非你需要做端口级路由。
Q2：HTTP_HOST 和 SERVER_NAME 哪个是获取域名的最佳选择？
A：安全场景选SERVER_NAME（服务器配置），业务展示选HTTP_HOST，因为HTTP_HOST可被客户端伪造，如果用它做安全验证相当于“相信罪犯的自我介绍”。
Q3：如何识别是顶级域名还是子域名？
A：穷举公共后缀列表（如.com、.co.uk）不可靠，推荐使用PHP库TLDExtract，或者简单判断：如果strpos($host, '.')，取最后一个点后面的部分作为顶级域，但co.uk这类双后缀需特殊处理——建议在项目内维护一张常见二级后缀表。
Q4：PHP能做“域名反查IP”或“IP反查域名”吗？
A：可以，用gethostbyname($domain)获取IP；用gethostbyaddr($ip)获取域名，但注意这些函数依赖系统DNS，且有缓存，高频调用性能不佳。
Q5：如何处理国际化域名（IDN，如中文域名）？
A：PHP获取到的中文域名是punycode编码（如xn--fiqs8s），需使用idn_to_utf8()函数转换成可读中文，反之用idn_to_ascii()。
PHP域名识别并非难事，关键在于区分“数据来源的可信度”和“应用场景”，记住核心原则——展示用HTTP_HOST，鉴权用SERVER_NAME+白名单，在编写多域名SaaS应用或安全插件时，建议将域名解析逻辑封装成一个服务类，并注入到框架中，希望本篇文章能助你在域名处理的路上少踩坑，高效构建健壮的PHP应用。
