借助.htaccess将URL前缀转为$_GET参数：数据库ID传递改造需求

一、URL重写配置 #

Apache（.htaccess） #

在项目根目录的.htaccess文件中添加以下规则，捕获URL开头的随机字符串并映射到$_GET['database_id']参数：

RewriteEngine On

# 处理带路径的URL（如 /Sa3fcXsaL/hrm/employees）
RewriteRule ^([a-zA-Z0-9]+)/(.*)$ $2?database_id=$1 [QSA,L]

# 处理根路径（如 /Sa3fcXsaL/）
RewriteRule ^([a-zA-Z0-9]+)/$ index.php?database_id=$1 [QSA,L]

• QSA：保留原有URL的查询参数，避免覆盖
• L：停止执行后续重写规则

Nginx（站点配置文件） #

在Nginx的站点配置中添加重写规则，修改后重启Nginx生效：

location / {
    # 匹配带路径的URL
    rewrite ^/([a-zA-Z0-9]+)/(.*)$ /$2?database_id=$1 last;
    # 匹配根路径
    rewrite ^/([a-zA-Z0-9]+)/$ /index.php?database_id=$1 last;
    # 配合PHP框架的默认路由
    try_files $uri $uri/ /index.php?$query_string;
}

二、PHP端核心处理逻辑 #

1. 捕获并验证数据库ID
   直接从$_GET获取参数，必须先验证合法性，防止恶意访问：

// 获取URL传递的数据库ID
$database_id = $_GET['database_id'] ?? null;

// 验证ID是否合法（必须检查是否在允许的列表内）
if ($database_id && !isValidDatabaseId($database_id)) {
    header("HTTP/1.1 403 Forbidden");
    exit("无效的数据库ID");
}

// 根据ID获取数据库配置并建立连接
$db_config = getDatabaseConfig($database_id);
if (!$db_config) {
    header("Location: /select-database"); // 无合法ID时引导选择数据库
    exit;
}

// 初始化数据库连接（以PDO为例）
try {
    $pdo = new PDO($db_config['dsn'], $db_config['user'], $db_config['password']);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
    die("数据库连接失败: " . $e->getMessage());
}

2. 封装配置与验证函数
   把数据库配置和验证逻辑抽成函数，便于维护：

// 获取指定ID的数据库配置
function getDatabaseConfig($id) {
    // 可从主数据库或配置文件读取，这里用示例数组
    $databases = [
        'Sa3fcXsaL' => [
            'dsn' => 'mysql:host=localhost;dbname=hrm_db1',
            'user' => 'db_user_01',
            'password' => 'your_db_password'
        ],
        'X9kF2dZ7p' => [
            'dsn' => 'mysql:host=localhost;dbname=hrm_db2',
            'user' => 'db_user_02',
            'password' => 'another_db_password'
        ]
    ];
    return $databases[$id] ?? null;
}

// 验证数据库ID是否合法
function isValidDatabaseId($id) {
    $valid_ids = array_keys(getDatabaseConfig(null));
    return in_array($id, $valid_ids);
}

三、页面链接生成规范 #

所有内部链接必须自动带上当前的database_id，避免跳转后丢失参数，建议封装成工具函数：

// 生成带数据库ID的URL
function buildUrl($path) {
    $current_db_id = $_GET['database_id'] ?? '';
    if (empty($current_db_id)) {
        return '/select-database';
    }
    // 处理路径开头的斜杠，避免重复
    $path = ltrim($path, '/');
    return "/{$current_db_id}/{$path}";
}

// 使用示例
echo '<a href="' . buildUrl('hrm/employees') . '">员工列表</a>';
echo '<a href="' . buildUrl('hrm/departments/add') . '">添加部门</a>';

生成的链接会自动保持my.domain.app/[数据库ID]/[路径]的格式，和Cloudflare后台URL逻辑一致。

四、关键安全注意事项 #

• 严格验证ID合法性：绝对不能直接使用用户传入的database_id拼接连接信息，必须校验是否在预设的合法列表中，防止恶意注入或非法访问其他数据库。
• 使用随机字符串ID：不要用数据库名、数字ID等敏感信息作为URL标识，避免泄露系统结构。
• 强制HTTPS：确保网站启用HTTPS，防止URL中的数据库ID被明文拦截。
• 处理无ID场景：当URL中没有database_id时，引导用户进入数据库选择页面，不要直接抛出错误。

内容的提问来源于stack exchange，提问作者jQuerybeast