Web后端PHP基础

撞️

349人浏览 · 2026-05-03 13:32:29

撞️ · 2026-05-03 13:32:29 发布

PHP 的定义

PHP（Hypertext Preprocessor）是一种开源的服务器端脚本语言，专门用于Web开发。它嵌入HTML中使用，适合创建动态网页内容。PHP代码在服务器上执行，生成HTML输出发送到客户端浏览器。

官方定义

根据PHP官方文档，PHP是一种广泛使用的通用脚本语言，尤其适合Web开发。它快速、灵活、实用，支持多种数据库和协议。PHP语法借鉴了C、Java和Perl，易于学习且功能强大。

核心关键词

服务器端脚本语言：PHP代码在服务器上运行，生成动态内容。
开源：PHP是免费的，拥有活跃的开发者社区。
动态网页：PHP用于创建交互式、数据驱动的网站。
数据库集成：PHP支持MySQL、PostgreSQL等多种数据库。
跨平台：PHP可在Windows、Linux、macOS等操作系统上运行。

PHP在网站中的角色

PHP在网站开发中扮演重要角色，主要用于处理服务器端逻辑。它生成动态内容、处理表单数据、管理会话、操作数据库等。许多流行的内容管理系统（如WordPress）和框架（如Laravel）基于PHP构建。

PHP的优势在于其易用性、灵活性和强大的社区支持。它适合开发从简单网页到复杂企业级应用的各类项目。

PHP在网络安全中的重要性

PHP作为服务器端脚本语言，广泛应用于Web开发，许多遗留系统和内容管理系统（如WordPress）依赖PHP。了解PHP能帮助安全人员识别漏洞、分析攻击向量。

常见PHP安全漏洞类型

SQL注入、跨站脚本（XSS）、文件包含漏洞、代码执行漏洞在PHP应用中频繁出现。熟悉PHP语法和函数特性（如eval()、include）能快速定位危险代码模式。

漏洞分析与利用

PHP类型转换缺陷可能引发逻辑漏洞，如==弱类型比较导致的认证绕过。掌握$_GET/$_POST等超全局变量的处理方式，可有效测试输入验证缺陷。

防御方案开发

编写安全的PHP代码需理解参数过滤、预处理语句、输出编码等技术。例如使用htmlspecialchars()防御XSS，或PDO防止SQL注入。

现有系统审计能力

超过75%的网站使用PHP，包括老旧版本。能够审计PHP代码意味着能评估真实世界系统的风险，如分析unserialize()可能引发的对象注入问题。

工具链整合

主流安全工具（如Burp Suite）支持PHP漏洞检测。手动编写PHP脚本可扩展自动化测试能力，例如定制化模糊测试payload生成器。

PHP 基础语法结构

PHP 脚本以 <?php 开头，以 ?> 结尾。文件扩展名通常为 .php。

<?php
// PHP 代码
?>

变量与数据类型

PHP 是弱类型语言，变量以 $ 开头，无需声明类型。

$name = "John"; // 字符串
$age = 25;      // 整数
$price = 10.99; // 浮点数
$is_active = true; // 布尔值

输出数据

使用 echo 或 print 输出内容。

echo "Hello, World!";
print $name;

数组

PHP 支持索引数组和关联数组。

// 索引数组
$colors = array("Red", "Green", "Blue");

// 关联数组
$person = array(
    "name" => "John",
    "age" => 25
);

条件语句

使用 if, else if, else 进行条件判断。

if ($age > 18) {
    echo "Adult";
} else {
    echo "Minor";
}

循环结构

PHP 支持多种循环方式。

// for 循环
for ($i = 0; $i < 5; $i++) {
    echo $i;
}

// foreach 循环（用于数组）
foreach ($colors as $color) {
    echo $color;
}

函数

使用 function 关键字定义函数。

function greet($name) {
    return "Hello, " . $name;
}

echo greet("John");

表单处理

PHP 可以处理 HTML 表单数据。

<form method="post" action="welcome.php">
    Name: <input type="text" name="name">
    <input type="submit">
</form>

在 welcome.php 中获取数据：

$name = $_POST['name'];
echo "Welcome, " . $name;

文件包含

使用 include 或 require 包含其他 PHP 文件。

include 'header.php';
require 'footer.php';

错误处理

使用 try-catch 块处理异常。

try {
    // 代码
} catch (Exception $e) {
    echo "Error: " . $e->getMessage();
}

连接数据库

使用 PDO 或 MySQLi 连接数据库。

// PDO 连接
$pdo = new PDO("mysql:host=localhost;dbname=test", "username", "password");

// MySQLi 连接
$mysqli = new mysqli("localhost", "username", "password", "test");

会话管理

使用 session_start() 开启会话。

session_start();
$_SESSION['user'] = "John";
echo $_SESSION['user'];

常用超全局变量

PHP 提供了多个超全局变量。

$_GET    // 获取 URL 参数
$_POST   // 获取 POST 数据
$_SERVER // 服务器信息
$_COOKIE // Cookie 数据
$_FILES  // 上传文件信息

以上是 PHP 的核心基础语法，涵盖了变量、输出、数组、条件语句、循环、函数、表单处理、文件包含、错误处理、数据库连接、会话管理和常用超全局变量等内容。

PHP字符串拼接方法

在PHP中，字符串拼接是常见的操作，有多种方法可以实现：

使用点运算符（.）

点运算符是PHP中最基本的字符串连接方式：

$str1 = "Hello";
$str2 = "World";
$result = $str1 . " " . $str2; // 结果为"Hello World"

使用.=运算符

.=运算符可以将右侧字符串追加到左侧变量：

$greeting = "Hello";
$greeting .= " PHP"; // $greeting变为"Hello PHP"

使用双引号字符串插值

双引号字符串中可以直接嵌入变量：

$name = "John";
echo "Hello $name"; // 输出"Hello John"

使用sprintf函数

sprintf允许格式化字符串拼接：

$format = "There are %d monkeys in the %s";
echo sprintf($format, 5, "tree"); // 输出"There are 5 monkeys in the tree"

使用implode函数

implode可以将数组元素连接为字符串：

$array = ["Hello", "World"];
echo implode(" ", $array); // 输出"Hello World"

使用heredoc语法

heredoc适合拼接多行字符串：

$str = <<<EOD
This is a
multi-line
string
EOD;

使用nowdoc语法

nowdoc与heredoc类似，但不解析变量：

$str = <<<'EOD'
This $variable won't be parsed
EOD;

性能考虑

对于大量字符串拼接操作，建议使用.=运算符或implode函数，它们比连续使用.运算符更高效。在循环中进行字符串拼接时，.=通常是最佳选择。

理解PHP超全局变量

PHP超全局变量是在脚本的全部作用域中始终可用的内置变量，无需使用global关键字声明。这些变量用于收集表单数据、管理会话、访问服务器信息等。

常见的PHP超全局变量

$_GET
包含通过URL参数传递的变量，适用于从地址栏获取数据。例如：example.com?name=John，可通过$_GET['name']访问。

$_POST
存储通过HTTP POST方法提交的表单数据，适用于敏感信息（如密码）。例如：表单中<input name="email">的值可通过$_POST['email']获取。

通过 $_GET 接收参数

前端通过 URL 查询字符串传递参数，例如 example.com?name=John&age=25。
PHP 后端使用 $_GET 超全局数组获取这些参数：

$name = $_GET['name']; // John
$age = $_GET['age'];   // 25

通过 $_POST 接收参数

前端通过表单或 AJAX 的 POST 请求传递参数。
PHP 后端使用 $_POST 超全局数组获取数据：

$username = $_POST['username'];
$password = $_POST['password'];

文件上传完整流程

前端处理

用户通过界面选择文件，触发<input type="file">元素。

使用JavaScript监听change事件获取文件对象：

document.getElementById('fileInput').addEventListener('change', function(e) {
  const file = e.target.files[0];
});

文件校验

检查文件类型：通过file.type或扩展名验证
限制文件大小：file.size <= maxSize

示例校验代码：

if (!file.type.match('image.*')) {
  alert('仅支持图片格式');
  return;
}

数据封装

创建FormData对象并附加文件：

const formData = new FormData();
formData.append('file', file);

后端接收

配置接收接口（以Node.js为例）：

app.post('/upload', (req, res) => {
  const upload = multer({ dest: 'uploads/' }).single('file');
  upload(req, res, (err) => {
    if (err) return res.status(500).send(err);
    res.send('上传成功');
  });
});

存储处理

本地存储：使用fs模块或存储框架（如Multer）
云存储：调用AWS S3、阿里云OSS等SDK
数据库记录：保存文件路径和元信息

响应反馈

返回JSON结构：

{
  "status": "success",
  "path": "/uploads/filename.jpg"
}

安全注意事项

服务端校验文件头（Magic Number）
重命名文件避免目录穿越攻击
设置合理的权限控制
病毒扫描（可选）

扩展功能

分片上传：处理大文件时使用Blob.slice()
进度显示：XMLHttpRequest的progress事件
断点续传：记录已上传分片信息

示例进度监控代码：

xhr.upload.addEventListener('progress', (e) => {
  const percent = Math.round((e.loaded / e.total) * 100);
  progressBar.style.width = percent + '%';
});