使用header跳转时，通过加密参数并添加HMAC签名可确保安全性。1. 用openssl_encrypt加密数据，防止明文传输；2. 使用hash_hmac生成签名，接收端验证防篡改；3. 解密后校验时间戳，防止重放攻击；4. 密钥从配置文件读取，避免硬编码。该方案适用于支付回调、权限操作等敏感场景，保障跳转过程的数据完整性与机密性。
在PHP开发中，页面跳转并传递参数是常见需求，比如登录后跳转回原页面、表单提交后重定向等。为了安全性和用户体验，除了基础跳转外，还需考虑URL参数的安全性，防止被篡改或伪造。下面介绍如何使用 header跳转 携带参数，并结合 URL参数加密与防篡改 的完整方案。
1. PHP header 跳转并携带参数
PHP 中最常用的页面跳转方式是使用 header() 函数，通过设置 Location 头实现重定向。
示例：跳转到目标页面并传递用户ID和操作类型
// 设置跳转目标并附加参数
$target = "result.php";
$uid = 123;
$action = "edit";
<p>// 构造带参数的URL
$url = "$target?uid=" . urlencode($uid) . "&action=" . urlencode($action);</p><p>// 执行跳转
header("Location: $url");
exit;</p>在 result.php 中可通过 $_GET 接收：
立即学习“PHP免费学习笔记（深入）”；
$uid = $_GET['uid'] ?? ''; $action = $_GET['action'] ?? ''; echo "用户ID：$uid，操作：$action";
2. URL 参数加密防止明文暴露
直接在URL中暴露参数存在风险，如敏感信息泄露、参数被修改。可以通过对参数进行加密处理，只传输密文。
推荐使用对称加密算法如 AES-128-CBC 或 openssl_encrypt 加密参数。
function encryptParams($data, $key) {
$iv = openssl_random_pseudo_bytes(16);
$encrypted = openssl_encrypt(
json_encode($data),
'AES-128-CBC',
$key,
0,
$iv
);
return base64_encode($iv . $encrypted);
}
<p>// 使用示例
$key = 'your-secret-key-16'; // 16位密钥
$params = ['uid' => 123, 'action' => 'edit', 'time' => time()];
$token = encryptParams($params, $key);</p><p>// 跳转时只传 token
$url = "result.php?token=" . urlencode($token);
header("Location: $url");
exit;</p>3. 防篡改：添加签名验证（Token + HMAC）
即使加密了，仍需防止攻击者替换密文造成越权操作。可在加密基础上增加签名机制，确保数据完整性。
思路：将参数生成签名，跳转时同时传加密数据和签名，接收端重新验签。
function buildSecureToken($data, $key) {
$json = json_encode($data);
$iv = openssl_random_pseudo_bytes(16);
$encrypted = openssl_encrypt($json, 'AES-128-CBC', $key, 0, $iv);
$ciphertext = base64_encode($iv . $encrypted);
<pre class='brush:php;toolbar:false;'>// 生成HMAC签名
$signature = hash_hmac('sha256', $ciphertext, $key);
return [
'token' => $ciphertext,
'sig' => $signature
];}
// 跳转 $data = ['uid' => 123, 'action' => 'edit', 'time' => time()]; $secure = buildSecureToken($data, $key);
$url = "result.php?token=" . urlencode($secure['token']) . "&sig=" . urlencode($secure['sig']); header("Location: $url"); exit;
在 result.php 中解密并验证：
function decryptToken($token, $sig, $key) {
// 验证签名
$expected_sig = hash_hmac('sha256', $token, $key);
if (!hash_equals($expected_sig, $sig)) {
return false; // 签名不匹配，可能被篡改
}
<pre class='brush:php;toolbar:false;'>$data = base64_decode($token);
$iv = substr($data, 0, 16);
$encrypted = substr($data, 16);
$json = openssl_decrypt($encrypted, 'AES-128-CBC', $key, 0, $iv);
return json_decode($json, true);}
// 接收处理 $token = $_GET['token'] ?? ''; $sig = $_GET['sig'] ?? '';
if (!$token || !$sig) { die("缺少必要参数"); }
$params = decryptToken($token, $sig, $key); if (!$params) { die("参数无效或已被篡改"); }
// 验证时间戳（可选，防止重放攻击） if (time() - $params['time'] > 300) { // 5分钟过期 die("链接已过期"); }
// 正常处理逻辑 echo "用户ID：{$params['uid']}，操作：{$params['action']}";
4. 安全建议总结
- 避免在URL中直接传递敏感参数（如用户ID、权限等级）
- 使用强加密算法（如AES）和随机IV，防止重放攻击
- 必须验证签名，推荐使用 hash_hmac 并配合 hash_equals 防止时序攻击
- 加入时间戳和有效期，提升安全性
- 密钥要妥善保管，不要硬编码在代码中，建议从配置文件或环境变量读取
基本上就这些。跳转本身简单，但加上参数安全控制后能有效防止越权、伪造和中间人篡改，适合用于支付回调、授权跳转、敏感操作确认等场景。
