PHP设置HTTP头的正确方式

本文深入解析了PHP中`header()`函数的正确使用方法与常见陷阱，强调其必须在任何输出（包括空格、BOM、换行）之前调用，否则触发“headers already sent”错误；详细剖析了BOM、配置文件空行等隐蔽原因，指出`output_buffering`仅是权宜之计而非根本解；明确`Content-Type`中`charset=utf-8`的规范写法（小写、无空格、带横线），警示重定向后必须紧跟`exit`以防逻辑失控，并推荐显式指定HTTP状态码；最后揭示通过`ob_start()`实现响应头动态修改的机制与限制——它虽赋予二次操作能力，却要求严格前置且带来内存开销。掌握这些细节，才能写出健壮、安全、跨浏览器兼容的PHP HTTP头控制代码。

header() 函数必须在任何输出之前调用

PHP 的 header() 函数向客户端发送原始 HTTP 响应头，但它有个硬性限制：一旦有任意输出（包括空格、换行、echo、print、HTML 标签甚至 BOM 字节），就再也无法调用 header()，否则会报错 Warning: Cannot modify header information - headers already sent。

常见踩坑点：

• 文件开头存在 UTF-8 BOM（尤其 Windows 编辑器保存时默认带 BOM）
• ?> 后面多了一个空格或换行
• 引入的配置文件末尾有空白行或输出语句
• 开启 output_buffering 能缓解但不解决根本问题——它只是把输出暂存，最终仍需确保逻辑上没提前发送

设置 Content-Type 时注意字符集写法

中文页面最常设的是 Content-Type: text/html; charset=utf-8，但写法稍有偏差就会失效或被忽略：

• 必须用小写 charset，不能写成 CHARSET 或 Charset
• 等号前后不能有空格：charset = utf-8 是错的，charset=utf-8 才对
• UTF-8 中的横线不能省略，utf8 在部分老浏览器或严格解析器中可能不识别
• 如果同时用了 mb_http_output('UTF-8')，两者要一致，否则可能乱码

示例：header('Content-Type: text/html; charset=utf-8');

重定向时必须配合 exit 或 die

用 header('Location: /login.php') 做跳转时，PHP 不会自动终止脚本执行。后续代码仍会运行，可能导致意外输出、数据库重复操作或安全漏洞。

• 必须紧跟 exit 或 die，推荐写成 header('Location: /login.php'); exit;
• 不要依赖 return（除非在函数内且能确保完全退出当前请求上下文）
• HTTP 状态码建议显式指定，比如 302 临时跳转：header('Location: /new.php', true, 302)；301 永久跳转：header('Location: /new.php', true, 301)

修改已发送的响应头？只能靠 output buffering

PHP 默认不允许覆盖或删除已发出的响应头，但可以通过启用输出缓冲来“推迟”实际发送时间，从而获得二次操作机会。

• 在脚本最开头加 ob_start()，所有 echo/print 输出都会暂存到缓冲区
• 此时再调用 header() 依然有效，甚至可以多次设置同一头（后一次覆盖前一次）
• 缓冲区内容最终由 ob_end_flush() 或脚本结束自动送出；若想丢弃，用 ob_end_clean()
• 注意：这会增加内存开销，大文件输出时不建议长期开启

容易被忽略的是——ob_start() 必须出现在任何输出之前，哪怕只是 echo '' 都会让它失效。

到这里，我们也就讲完了《PHP设置HTTP头的正确方式》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于的知识点！