客户端能否修改$_SERVER变量？含$_SERVER['HTTP_HOST']的可行性与方法问询

嘿，这个问题问到点子上了——确实，$_SERVER['HTTP_HOST']是可以被客户端修改的，而且不止这一个参数，咱们一步步拆解清楚：

1. $_SERVER['HTTP_HOST']可被修改是真实的吗？ #

完全真实！原因很简单：$_SERVER['HTTP_HOST']的值直接来自HTTP请求头里的Host字段，而HTTP请求头是由客户端（不管是浏览器、curl、Postman还是自己写的脚本）构造并发送的，客户端完全可以自定义这个字段的内容。

2. 具体怎么实现？ #

实现方式非常多，举几个常见的例子：

• 用curl命令手动指定Host头：

  curl -H "Host: my-fake-domain.com" https://your-real-site.com
  

  这样你的服务器收到请求后，$_SERVER['HTTP_HOST']的值就是my-fake-domain.com，而不是真实的站点域名。
• 用浏览器开发者工具修改：比如在Chrome的Network面板里，找到要发送的请求，右键选择“修改并重新发送”，然后在请求头里修改Host字段的值再发送。
• 用API调试工具（比如Postman）：直接在请求的Headers列表里添加或修改Host项，设置成你想要的任意值即可。

3. 客户端还能修改$_SERVER的其他参数吗？ #

当然可以，但要分情况：$_SERVER里的参数分两类，一类来自HTTP请求头，这类基本都能被客户端篡改；另一类是服务器端生成的系统/环境参数，这些客户端完全碰不到。

常见可被修改的$_SERVER参数（对应HTTP请求头）： #

• HTTP_USER_AGENT：就是客户端的标识（比如浏览器版本），随便自定义，比如curl里用-A "My-Custom-Client/1.0"就能修改。
• HTTP_REFERER：请求的来源页面，同样可以在请求头里随便填。
• HTTP_ACCEPT、HTTP_ACCEPT_LANGUAGE这类和客户端偏好相关的请求头对应的参数。
• HTTP_X_FORWARDED_FOR：如果你的服务器用了反向代理，这个字段常被用来伪造客户端IP，但注意如果服务器配置正确（比如Nginx里设置realip模块），会优先取真实的客户端IP，这个伪造就没用了。
• 甚至自定义的HTTP头：比如你在请求里加X-My-Header: HelloWorld，服务器端的$_SERVER里就会出现HTTP_X_MY_HEADER，值就是HelloWorld。

客户端无法修改的$_SERVER参数（服务器端生成）： #

比如SERVER_ADDR（服务器的IP地址）、DOCUMENT_ROOT（站点的根目录路径）、SERVER_PORT（服务器监听的端口）、PHP_SELF（当前执行的PHP脚本路径）这些，都是服务器自己生成的，客户端根本没办法篡改。

重要提醒 #

千万不要信任$_SERVER里来自客户端的参数！比如不要直接用HTTP_HOST来生成跳转链接、拼接数据库连接字符串或者做权限验证。如果需要用到域名，优先用服务器端配置的SERVER_NAME（前提是你在Apache/Nginx里正确配置了虚拟主机的ServerName），这个值是服务器自己定义的，不会被客户端篡改。

内容的提问来源于stack exchange，提问作者Mohammad Salehi