PHP后端代码只在服务器上执行，用户无法看到原始PHP文件，仅接收其生成的HTML、JSON或HTTP状态码；它负责处理请求、操作数据库、维持会话，但不参与前端交互。
PHP后端是指运行在服务器上的PHP代码，它不直接面向用户，而是负责接收HTTP请求、处理业务逻辑、操作数据库、生成响应（HTML或JSON），再把结果发回浏览器或前端应用。
PHP后端代码到底在哪执行？
它只在服务器上运行，用户永远看不到原始php文件内容——浏览器拿到的只是PHP执行后吐出的HTML、JSON或HTTP状态码。比如访问 login.php，实际是Web服务器（如Apache/Nginx）把请求转给PHP解释器，执行完才返回登录页或{"status":"success"}。
为什么不能用PHP直接写前端交互？
因为PHP没有DOM操作能力，也不响应鼠标点击或键盘事件：
• 它无法监听onclick或修改document.body
• 表单提交后跳转是靠HTTP重定向（header("Location: ...")），不是前端JS那种无刷新
• 所有“动态”都发生在请求-响应周期内，不是实时响应用户动作
最常见的三个后端职责，对应哪些PHP函数？
• 接收并过滤用户输入：用$_GET、$_POST、filter_input()，别直接用$_REQUEST——容易绕过验证
• 安全查数据库：必须用PDO::prepare()或mysqli_prepare()，硬拼SQL字符串（如"SELECT * FROM users WHERE id = $_GET['id']"）等于敞开SQL注入大门
• 维持用户状态：靠session_start() + $_SESSION，但记得设session.cookie_httponly = 1防XSS窃取
立即学习“PHP免费学习笔记（深入）”；
部署时最容易被忽略的一件事
本地能跑不等于线上安全：很多新手把config.php放在Web根目录下，结果被直接下载到明文数据库密码；正确做法是放/var/www/config/这种不在DocumentRoot里的路径，或用.htaccess禁止访问，或让PHP通过require_once __DIR__ . '/../config/db.php';跨目录加载。
真正卡住人的从来不是语法，而是“这个变量谁写的、什么时候失效、谁能看到它”。PHP后端的边界感——哪些该由它管、哪些不该碰、哪些必须隔离——比写对一个foreach重要得多。
