PHP内置服务器URL重写实战：用Router Script实现单一入口，告别Nginx配置烦恼
一、为什么需要URL重写
很多PHP开发者都有这样的经历：在本地编写代码时，为了模拟线上环境，不得不安装和配置Nginx或Apache。这些Web服务器虽然功能强大，但对于只想快速调试代码的场景来说，显得过于笨重。PHP从5.4版本开始内置了一个轻量级Web服务器，只需要一行命令就能启动，大大简化了本地开发流程。
然而，现代PHP框架（如Laravel、ThinkPHP、Symfony等）几乎都采用单一入口机制。也就是说，所有HTTP请求都统一经过一个入口文件（通常是index.php），由框架的路由组件根据URL决定调用哪个控制器和方法。要实现这种机制，就必须依赖URL重写——把所有非静态资源的请求都转发到index.php。
在Nginx中，我们可以通过rewrite规则实现；在Apache中，可以通过.htaccess的mod_rewrite实现。但PHP内置服务器并没有提供类似的重写配置文件。那该怎么办呢？其实，PHP内置服务器提供了一种叫做Router Script的机制，可以完美解决这个问题。
二、Router Script的工作原理
PHP内置服务器处理请求的逻辑非常简单：当收到一个HTTP请求时，它会先检查请求的URI是否对应一个真实的静态文件（比如CSS、JS、图片等）。如果文件确实存在，就直接返回该文件；如果文件不存在，就会把请求交给一个指定的PHP脚本来处理。这个指定的PHP脚本就是Router Script。
利用这个特性，我们可以在Router Script中做两件事：
- 判断请求的文件是否真实存在，如果存在就返回false，让内置服务器直接输出静态文件；
- 如果文件不存在，就把请求转发给应用的单一入口文件index.php，从而实现URL重写。
这个过程就像是在服务器内部加了一道关卡：对于已知的资源放行，对于未知的路径统统交给框架处理。这样一来，我们就可以在不依赖任何第三方Web服务器的情况下，模拟出类似Nginx的URL重写效果。
三、基础重写实现步骤
3.1 创建Router Script
假设我们的项目根目录下已经有了一个index.php作为单一入口。现在需要创建一个路由脚本，通常命名为router.php。这个文件的作用就是充当刚才说的“关卡”。下面是router.php的基础代码：
<?php
// 获取请求URI的路径部分，去掉查询参数
$uri = urldecode(parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH));
// 如果请求的不是根目录，并且对应的文件或目录真实存在于磁盘上
// 就返回false，让内置服务器直接输出该静态文件
if ($uri !== '/' && file_exists(__DIR__ . $uri)) {
return false;
}
// 对于不存在的文件路径，加载单一入口文件
require __DIR__ . '/index.php';这段代码虽然简单，但包含了几个关键点。首先，parse_url函数用来提取URI中的路径部分，比如请求/css/style.css?id=123，它会只取出/css/style.css，避免查询字符串干扰文件存在性判断。其次，file_exists是核心判断条件，它保证了CSS、JavaScript、图片等静态资源能够被正常加载，而不会被错误地路由到index.php。最后，当脚本执行到return false时，PHP内置服务器会立即中断当前脚本的处理，直接输出对应的静态文件。
3.2 启动内置服务器
写好router.php后，启动内置服务器时只需把它作为参数传入即可：
php -S localhost:8000 router.php这里的localhost:8000是监听地址和端口，你可以根据需要修改。启动之后，访问http://localhost:8000，所有请求都会经过router.php处理。如果访问一个存在的静态文件（比如/css/app.css），服务器会直接返回文件内容；如果访问一个不存在的路径（比如/user/profile），则会加载index.php，由框架进行路由解析。
四、安全增强：防止敏感文件泄露
在实际开发中，项目根目录下往往会存放一些敏感文件，比如.env环境配置文件、.git目录、.svn目录等。默认情况下，如果攻击者知道了这些文件的路径，内置服务器会直接把它们当作静态文件返回，造成严重的安全隐患。因此，我们需要在路由脚本中增加一道防线。
我们可以通过正则表达式来拦截对隐藏文件和敏感目录的访问。下面是一个增强版的router.php：
<?php
$uri = urldecode(parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH));
// 拦截敏感文件和隐藏文件的访问
// 匹配以点开头的隐藏文件（除了.well-known标准目录）、env、git、svn等
if (preg_match('/^\/\.(?!well\-known).*|^\/env|^\/\.git|^\/\.svn/i', $uri)) {
header('HTTP/1.1 403 Forbidden');
echo 'Access Denied!';
exit;
}
// 静态文件放行
if ($uri !== '/' && file_exists(__DIR__ . $uri)) {
return false;
}
// 路由到入口文件
require __DIR__ . '/index.php';这段代码的正则表达式做了几层保护：
^\/\.(?!well\-known).*：匹配以斜杠加点开头，但不是.well-known的路径，比如.env、.gitignore等。^\/env：直接匹配/env路径，防止有人猜测文件名。^\/\.git和^\/\.svn：专门拦截版本控制目录。
一旦匹配成功，服务器会返回403状态码并显示拒绝访问的信息，从而有效阻止敏感信息泄露。需要注意的是，.well-known目录是某些协议（如SSL证书验证）需要的标准目录，不应该被拦截，所以我们在正则中排除了它。
五、兼容PATH_INFO的处理
许多PHP框架（比如Laravel、CodeIgniter）依赖PATH_INFO环境变量来解析路由。PATH_INFO是指URL中脚本名称之后的部分，例如访问/index.php/user/profile时，PATH_INFO应该是/user/profile。但是PHP内置服务器在某些情况下可能不会正确设置这个变量，导致框架路由无法正常工作。
为了解决这个问题，我们需要在加载入口文件之前，手动补全$_SERVER数组中的相关键值。最终的完整版router.php如下：
<?php
$uri = urldecode(parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH));
// 拦截敏感文件和隐藏文件的访问
if (preg_match('/^\/\.(?!well\-known).*|^\/env|^\/\.git|^\/\.svn/i', $uri)) {
header('HTTP/1.1 403 Forbidden');
echo 'Access Denied!';
exit;
}
// 静态文件放行
if ($uri !== '/' && file_exists(__DIR__ . $uri)) {
return false;
}
// 手动设置PATH_INFO和SCRIPT_NAME，兼容框架路由
$_SERVER['PATH_INFO'] = $uri;
$_SERVER['SCRIPT_NAME'] = '/index.php';
// 路由到入口文件
require __DIR__ . '/index.php';这里我们做了两件事：
- 将
$_SERVER['PATH_INFO']设置为当前请求的URI路径，这样框架就能正确解析路由参数。 - 将
$_SERVER['SCRIPT_NAME']设置为/index.php，告诉框架入口文件的名称。
经过这样处理，绝大多数PHP框架都能在PHP内置服务器下正常运行。如果你使用的是ThinkPHP，还可以考虑额外设置$_SERVER['REQUEST_URI']，但通常情况下上面的配置已经足够。
六、注意事项与适用场景
需要特别强调的是，PHP内置服务器是单线程阻塞的。也就是说，一次只能处理一个请求，后续请求必须等待当前请求完成。因此，它只适合在开发和测试环境中使用，绝对不能用于生产环境。线上部署时，仍然需要使用Nginx或Apache配合PHP-FPM，以获得更好的性能和并发能力。
另外，如果你的项目使用了WebSocket或长轮询等需要持久连接的场景，PHP内置服务器也无法胜任，因为它不支持异步处理。
总的来说，通过Router Script机制，我们可以用最少的配置代价，在本地实现与生产环境一致的URL重写行为。这对于日常开发调试、单元测试、以及快速原型验证都非常有帮助。掌握这个技巧，可以让你的本地开发体验更加流畅，不再为环境配置而烦恼。
PHP内置服务器Router ScriptURL重写单一入口开发环境修改时间：2026-08-13 16:35:07