寻找$_SERVER['HTTP_HOST']的安全替代方案——获取基础URL的困惑

先明确：没有绝对完美的“开箱即用”替代，但可以通过多层校验+兜底策略降低风险，不用硬着头皮直接信任不安全的$_SERVER变量。

1. 多源交叉校验+格式过滤 #

同时结合$_SERVER['SERVER_NAME']、$_SERVER['HTTP_HOST']，再配合合法主机白名单（可开放给用户在插件中配置）做交叉验证，代码示例：

// 插件允许的合法主机列表（可让用户自行配置）
$allowedHosts = ['your-plugin-domain.com', 'sub.your-plugin-domain.com'];

$host = null;

// 优先尝试SERVER_NAME，先做格式合法性校验
if (!empty($_SERVER['SERVER_NAME']) && preg_match('/^[a-zA-Z0-9.-]+$/', $_SERVER['SERVER_NAME'])) {
    $host = $_SERVER['SERVER_NAME'];
}
// 若SERVER_NAME不可靠，再处理HTTP_HOST：先去掉端口，再校验格式
elseif (!empty($_SERVER['HTTP_HOST'])) {
    $host = preg_replace('/:\d+$/', '', $_SERVER['HTTP_HOST']);
    if (!preg_match('/^[a-zA-Z0-9.-]+$/', $host)) {
        $host = null;
    }
}

// 最后通过白名单校验，不符合则用默认合法主机兜底
if ($host && !in_array($host, $allowedHosts)) {
    $host = $allowedHosts[0];
}

// 拼接基础URL
$protocol = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ? 'https://' : 'http://';
$baseUrl = $protocol . $host;

2. 引导用户手动配置（最稳妥） #

如果插件有设置界面，直接让用户手动填写基础URL——这是完全规避伪造风险的方法，毕竟用户自己的服务器，肯定清楚正确的主机名。

3. 绕开主机名的替代思路 #

如果某些场景不需要完整的基础URL（比如站内跳转），直接用/开头的相对路径即可，完全不用碰主机名的问题。

总结：没有无需任何配置的完美方案，但通过格式校验+白名单+兜底的组合，能大幅降低风险。如果能引导用户手动配置，是最安全的选择。

内容的提问来源于stack exchange，提问作者yobebix932