PHP中$_GET无法获取&后URL内容，替代方案是否安全？

为什么$_GET['tolink']会截断？ #

你遇到的截断问题，核心原因是传递的URL里的&没有做URL编码。HTTP协议中&是GET参数的分隔符，当你把未编码的亚马逊URL作为tolink的值传递时，比如：
yourscript.php?tolink=https://www.amazon.com/...&qid=1685363216&sr=8-2
服务器会把&qid和&sr当成新的独立GET参数，所以$_GET['tolink']只能拿到第一个&之前的内容。

用$_SERVER['QUERY_STRING']直接替代安全吗？ #

不安全，直接使用会存在两个核心风险：

• 无法获取纯净的目标URL：QUERY_STRING包含所有GET参数的原始字符串，如果有人恶意构造链接（比如yourscript.php?tolink=https://amazon.com&malicious_param=xxxx），直接使用会把额外的恶意参数也拼到跳转URL里，导致跳转异常。
• HTTP头注入风险：如果攻击者构造的tolink包含换行、回车（比如https://amazon.com%0A%0DX-Header: malicious），直接放到Location头里会破坏HTTP响应结构，引发安全问题。

正确的解决方式 #

方式1：对传递的URL做编码（推荐） #

在生成跳转链接时，把tolink的值用URL编码处理，将&转成%26，比如：

• 前端JS中使用encodeURIComponent(amazonUrl)
• 后端PHP中使用urlencode($amazonUrl)

处理后的链接会变成：
yourscript.php?tolink=https%3A%2F%2Fwww.amazon.com%2F...%26qid%3D1685363216%26sr%3D8-2
此时$_GET['tolink']就能拿到完整的URL，解码后即可正常跳转。

修正后的代码示例：

$url = urldecode($_GET['tolink']);
// 安全验证：检查跳转目标是否为亚马逊域名
$host = parse_url($url, PHP_URL_HOST);
if (!$host || strpos($host, 'amazon.com') === false) {
    die('非法跳转目标');
}
// 过滤HTTP头非法字符，防止注入
$url = str_replace(["\r", "\n"], '', $url);
header("HTTP/1.1 301 Moved Permanently");
header("Location: $url");
exit;

方式2：从QUERY_STRING中提取tolink值 #

如果必须使用QUERY_STRING，需先解析出tolink的单独值，而非直接使用整个字符串：

$queryString = $_SERVER['QUERY_STRING'];
parse_str($queryString, $params);
$url = $params['tolink'] ?? '';
// 后续执行同方式1的安全验证与过滤步骤

关键安全提醒 #

无论采用哪种方式，都必须执行以下两步安全校验：

• 域名白名单验证：确保跳转目标是亚马逊官方域名，避免被用于跳转至钓鱼网站。
• 非法字符过滤：移除URL中的换行、回车等特殊字符，防止HTTP头注入攻击。

内容的提问来源于stack exchange，提问作者gassiopea