如何在 PHP 中正确获取 POST 请求的请求头与参数内容

时间：2026-05-06 07:37

如何在 PHP 中高效获取 POST 请求的请求头与参数内容本文详细解析如何通过 PHP 的 stream_context_create 与 file_get_contents 函数安全发起携带表单数据的 POST 请求，并确保在服务端能够完整、可靠地获取 HTTP 请求头及原始参数内容，有效规避

如何在 PHP 中高效获取 POST 请求的请求头与参数内容

本文详细解析如何通过 PHP 的 stream_context_create 与 file_get_contents 函数安全发起携带表单数据的 POST 请求，并确保在服务端能够完整、可靠地获取 HTTP 请求头及原始参数内容，有效规避使用 exec 配合 curl 命令所带来的安全风险与上下文处理不当问题。

在 PHP 项目开发过程中，实现一个携带表单数据的 POST 请求，并确保服务端能够精准捕获请求头与参数内容，这一需求看似基础，却让不少开发者在实际操作中遇到障碍。其核心关键在于两个环节：客户端必须正确地构建并发送请求，服务端必须明确知晓从何处解析数据。常见的错误往往源于这两个环节的配置失配。

例如，您可能遭遇以下情形：数据确认已发送，但服务端接收到的请求头为空，关键参数丢失。问题根源通常指向以下两点：

客户端资源句柄使用不当：尝试将 stream_context_create 函数创建的资源（resource）直接嵌入 shell 命令中，期望通过 curl --data 发送。这等同于递给快递员一个仓库的内部定位码，而非实际货物，最终导致传输失败。
服务端数据解析位置错误：在服务端仅依赖 apache_request_headers() 函数读取数据。此函数仅用于获取 HTTP 头部信息（例如 Content-Type、Host 等），而表单参数（如 feed_them_social=yes&...）实际存储在请求体（request body）中。若不检查“包裹”的主体部分，自然无法获取有效参数。

那么，正确的实现方法是什么？我们将分步详解。

第一步：客户端如何安全发送 POST 请求

建议摒弃使用 exec() 及存在安全隐患的命令拼接方式。利用 PHP 内置的 file_get_contents() 函数配合 stream_context_create()，可以优雅且安全地完成请求发送。

$postdata = http_build_query([
    'feed_them_social' => 'yes',
    'refresh_token'    => get_option('custom_refresh_token'),
    'time'             => esc_html(get_option('custom_token_exp_time')),
]);

$opts = [
    'http' => [
        'method'  => 'POST',
        'header'  => "Content-type: application/x-www-form-urlencoded\r\n" .
                     "Content-Length: " . strlen($postdata) . "\r\n",
        'content' => $postdata,
    ]
];

$context = stream_context_create($opts);
$response = file_get_contents('https://my-url.com', false, $context);

if ($response === false) {
    error_log('POST 请求发送失败: ' . print_r(error_get_last(), true));
} else {
    echo ''; print_r($response); echo '';
}

此处有一个关键细节需要强调：手动计算并设置 Content-Length 请求头是一个良好的实践（尽管部分运行环境会自动处理此值）。此外，HTTP 头部中的换行符必须严格使用 \r\n，这是 RFC 协议明确规定的格式，使用错误可能导致部分服务器无法正确解析请求。

立即学习“PHP免费学习笔记（深入）”；

第二步：服务端如何完整接收与解析数据

请求成功发出后，在服务端（即 https://my-url.com 对应的处理脚本中），您需要明确数据存储的位置，并按需获取。

// 1. 获取全部 HTTP 请求头信息（包含自定义头部）
$headers = apache_request_headers();
echo "请求头信息:
";
foreach ($headers as $key => $value) {
    echo "$key: $value\n";
}
echo "";

// 2. 获取已由 PHP 自动解析的 POST 参数（推荐方式，适用于 application/x-www-form-urlencoded 编码）
echo "POST 参数数据 (通过 \$_POST 获取):
";
print_r($_POST);
echo "";

// 3. 获取原始的请求体内容（适用于调试或处理非标准编码的数据）
echo "原始请求体内容:
";
$rawBody = file_get_contents('php://input');
echo htmlspecialchars($rawBody);
echo "";

通过以上三种方法，您可以清晰地掌握请求的完整信息：HTTP 头部、PHP 自动解析后的表单参数以及未经处理的原始请求体内容。

关键注意事项与避坑指南

掌握了正确方法后，还需关注环境差异与安全风险，以下几点尤为重要：

服务器环境配置：若使用 Apache，请确保已启用 mod_rewrite 模块或正确配置了 .htaccess 文件，否则可能意外过滤某些请求头。如果运行环境为 Nginx，则 apache_request_headers() 函数不可用，您可以改用 getallheaders() 函数，或直接遍历 $_SERVER 超全局变量中所有以 HTTP_ 为前缀的键值对。
获取远程响应头：file_get_contents() 函数默认仅返回响应体内容。若您需要检查远程服务器返回的 HTTP 响应头信息，则应改用 cURL 库，并设置 CURLOPT_HEADER => true 选项。
安全底线：这一点至关重要：在生产环境中，绝对禁止使用 exec()、system() 等函数执行动态拼接的 shell 命令。这将构成严重的命令注入攻击漏洞，带来极高的安全风险。采用 stream_context_create 等 PHP 内置的 HTTP 处理能力，才是既安全又符合规范的最佳实践。