PHP $ _SERVER ['HTTP_HOST'] vs. $ _SERVER ['SERVER_NAME']，我是否正确理解手册页？

Question

我做了很多搜索，还阅读了PHP $_SERVER文档。对于在我的网站上使用的用于简单链接定义的PHP脚本，我是否有权使用？

$_SERVER['SERVER_NAME']
基于您的Web服务器的配置文件（在我的情况下为Apache2），并根据一些指令而有所不同：（1）VirtualHost，（2）ServerName，（3）UseCanonicalName等。

$_SERVER['HTTP_HOST'] 基于客户端的请求。

因此，在我看来，为了使我的脚本尽可能兼容而使用的适当的脚本将是$_SERVER['HTTP_HOST']。这个假设正确吗？

后续评论：

显然，这里的讨论主要是关于$_SERVER['PHP_SELF']为什么不适当地转义以防止XSS攻击就不应该在form action属性中使用它的原因。

我对上述原始问题的结论是$_SERVER['HTTP_HOST']，即使在表单中使用XSS攻击，也不必担心XSS攻击是安全的。

如果我错了，请纠正我。

Answer 1

似乎没有灵丹妙药。只有当您强迫Apache使用规范名称时，您才始终使用来获得正确的服务器名称SERVER_NAME。

因此，您可以选择该名称，也可以根据白名单检查主机名：

$allowed_hosts = array('foo.example.com', 'bar.example.com');
if (!isset($_SERVER['HTTP_HOST']) || !in_array($_SERVER['HTTP_HOST'], $allowed_hosts)) {
    header($_SERVER['SERVER_PROTOCOL'].' 400 Bad Request');
    exit;
}