PHP设置HTTP头方法全解析

本文深入剖析了PHP中使用header()函数设置HTTP响应头的核心要点与实战陷阱，从“headers already sent”错误的根源（如BOM、空白字符、配置文件空行）讲起，强调header()必须在任何输出前调用这一铁律；详解Content-Type中charset的规范写法（小写、无空格、带横线）、重定向后必须exit以避免安全风险、状态码应显式指定，以及如何借助ob_start()在输出缓冲机制下灵活修改响应头——既揭示常见误区，又提供可落地的解决方案，是PHP开发者规避线上响应头异常、保障页面编码正确性与跳转安全性的必备指南。

header() 函数必须在任何输出之前调用

PHP 的 header() 函数向客户端发送原始 HTTP 响应头，但它有个硬性限制：一旦有任意输出（包括空格、换行、echo、print、HTML 标签甚至 BOM 字节），就再也无法调用 header()，否则会报错 Warning: Cannot modify header information - headers already sent。

常见踩坑点：

• 文件开头存在 UTF-8 BOM（尤其 Windows 编辑器保存时默认带 BOM）
• ?> 后面多了一个空格或换行
• 引入的配置文件末尾有空白行或输出语句
• 开启 output_buffering 能缓解但不解决根本问题——它只是把输出暂存，最终仍需确保逻辑上没提前发送

设置 Content-Type 时注意字符集写法

中文页面最常设的是 Content-Type: text/html; charset=utf-8，但写法稍有偏差就会失效或被忽略：

• 必须用小写 charset，不能写成 CHARSET 或 Charset
• 等号前后不能有空格：charset = utf-8 是错的，charset=utf-8 才对
• UTF-8 中的横线不能省略，utf8 在部分老浏览器或严格解析器中可能不识别
• 如果同时用了 mb_http_output('UTF-8')，两者要一致，否则可能乱码

示例：header('Content-Type: text/html; charset=utf-8');

重定向时必须配合 exit 或 die

用 header('Location: /login.php') 做跳转时，PHP 不会自动终止脚本执行。后续代码仍会运行，可能导致意外输出、数据库重复操作或安全漏洞。

• 必须紧跟 exit 或 die，推荐写成 header('Location: /login.php'); exit;
• 不要依赖 return（除非在函数内且能确保完全退出当前请求上下文）
• HTTP 状态码建议显式指定，比如 302 临时跳转：header('Location: /new.php', true, 302)；301 永久跳转：header('Location: /new.php', true, 301)

修改已发送的响应头？只能靠 output buffering

PHP 默认不允许覆盖或删除已发出的响应头，但可以通过启用输出缓冲来“推迟”实际发送时间，从而获得二次操作机会。

• 在脚本最开头加 ob_start()，所有 echo/print 输出都会暂存到缓冲区
• 此时再调用 header() 依然有效，甚至可以多次设置同一头（后一次覆盖前一次）
• 缓冲区内容最终由 ob_end_flush() 或脚本结束自动送出；若想丢弃，用 ob_end_clean()
• 注意：这会增加内存开销，大文件输出时不建议长期开启

容易被忽略的是——ob_start() 必须出现在任何输出之前，哪怕只是 echo '' 都会让它失效。

以上就是《PHP设置HTTP头方法全解析》的详细内容，更多关于的资料请关注golang学习网公众号！