php - $_SERVER ['REQUEST_METHOD' ] 保证是大写吗？

Question

我的代码中目前有 strtoupper($_SERVER['REQUEST_METHOD'])。

但是 strtoupper 调用有必要吗？ $_SERVER['REQUEST_METHOD'] 是否已保证为大写？

Answer 1

简短回答:不，不能保证，但通常收到非大写 HTTP 方法意味着客户端违反了规范。

长答案:

如果您正在处理 W3 规范定义的方法，例如 GET 和 POST，那么您可以保证符合规范的客户端将以大写形式向您发送它们。这是因为 HTTP 方法是 defined as case-sensitive ...

The Method token indicates the method to be performed on the resource identified by the Request-URI. The method is case-sensitive.

以及 W3 定义的方法，如 OPTIONS, GET, POST etc.以大写形式定义。

但是，如果您正在处理不符合规范的客户端，则您的网络服务器和 PHP 都不会神奇地将 $_SERVER['REQUEST_METHOD'] 的值强制为大写。这可以通过像这样的简单脚本轻松演示......

<?php
    echo "The method used by your request was $_SERVER[REQUEST_METHOD]";
?>

如果我们使用方法不是大写的 HTTP 请求访问该脚本，它将回显非大写的方法。许多常用工具可以让我们做到这一点。例如，让我们从 UNIX shell 中点击它:

$ curl http://localhost/echo_method.php -X GET -w "\n"
The method used by your request was GET
$ curl http://localhost/echo_method.php -X gEt -w "\n"
The method used by your request was gEt
$ curl http://localhost/echo_method.php -X fWoRbLeWoRbLe -w "\n"
The method used by your request was fWoRbLeWoRbLe

...或使用Python:

>>> import httplib
>>> connection = httplib.HTTPConnection('localhost')
>>> connection.request('pOsT', '/echo_method.php')
>>> connection.getresponse().read()
'The method used by your request was pOsT'

“好吧”，您可能会说，“因此，如果我的 API 被编写糟糕的脚本或 native 应用程序使用，则存在潜在的问题。但是我的 API 仅由以下人员使用由网络浏览器中运行的 JavaScript 触发的 AJAX 调用。这个问题对我有影响吗？”

不幸的是，是的。似乎现代浏览器在发送 AJAX 时将大多数标准 HTTP 方法强制为大写，但目前对于自定义 HTTP 方法或尤其是 PATCH method 并没有这样做。 .

这次是在 Chrome JavaScript 控制台中点击之前相同的 PHP 脚本...

var request;
request = new XMLHttpRequest();
request.open("GeT", "http://localhost/echo_method.php", true);
request.send();
request.onreadystatechange = function() {
    if (request.readyState == 4) {
        console.log(request.responseText);
    }
}

产生结果

The method used by your request was GET 

但是将 HTTP 方法更改为 pATcH 可以给我们带来

var request;
request = new XMLHttpRequest();
request.open("pATcH", "http://localhost/echo_method.php", true);
request.send();
request.onreadystatechange = function() {
    if (request.readyState == 4) {
        console.log(request.responseText);
    }
}

给我们

The method used by your request was pATcH

更糟糕的是，网络浏览器并不是 will coerce all methods except the PATCH method 的唯一客户端。改为大写。

总结:虽然 HTTP 规范要求请求包含大写的 HTTP 方法(除非它是在不同情况下专门定义的自定义方法)，但常见的 Web 工具使前端开发人员很容易犯这个错误，并且 PHP 的 $_SERVER['REQUEST_METHOD'] 变量将不会神奇地强制方法为大写(如果它们这样做的话)。

当然，这取决于您是否希望客户端遵守规范、验证方法是否为大写并以适当的状态代码(可能是 400 或 405)进行响应，如果不是，则返回错误消息，或者通过 strtoupper($_SERVER['REQUEST_METHOD']) 强制方法将自己大写，从而接受大小写不正确的 HTTP 方法，就像此处提问者最初的做法一样。