ThinkPHP 获取原始请求头应使用 request()->server('HTTP_XXX') 或 $_SERVER['HTTP_XXX']，因 header() 方法会将键名标准化为小写下划线格式（如 Content-Type → content_type），无法保留原始大小写和符号；同时需注意 CGI/FastCGI 环境兼容性及代理 IP 信任配置。
ThinkPHP 怎么获取原始请求头
ThinkPHP 默认不直接暴露原始请求头，request()->header() 返回的是经过标准化处理的键名（比如 content_type 对应 Content-Type），不是原始 key。如果你需要原样拿到 Authorization、X-Forwarded-For 这类大小写敏感或带下划线的 header，不能只靠 header() 方法。
实操建议：
- 用
$_SERVER数组直接读取：PHP 将所有 HTTP 请求头转为HTTP_*形式变量，比如Authorization→$_SERVER['HTTP_AUTHORIZATION']，X-Real-IP→$_SERVER['HTTP_X_REAL_IP'] - 注意 CGI/FastCGI 环境下
HTTP_前缀可能被截断，Nginx 需显式配置fastcgi_param HTTP_AUTHORIZATION $http_authorization; - ThinkPHP 6+ 提供了
request()->server('HTTP_AUTHORIZATION')封装，比直接读$_SERVER更安全（自动处理空值和环境差异）
ThinkPHP header() 方法返回的键名为什么全是小写下划线
这是 ThinkPHP 的内部标准化逻辑：把原始 header 名如 Content-Type、X-Requested-With 全部转成小写并用下划线连接，方便 PHP 变量命名习惯。所以 request()->header('content_type') 能取到 Content-Type 值，但 request()->header('Content-Type') 会返回 null。
常见错误现象：
立即学习“PHP免费学习笔记（深入）”；
- 写
request()->header('Authorization')拿不到值 → 应该用request()->header('authorization')或更稳妥的request()->header('http_authorization') - 在 CLI 环境调用时 header 为空 → CLI 没有 HTTP 上下文，
header()返回空数组，别误以为是代码问题 - 某些代理透传的自定义 header（如
X-Api-Version）被转成x_api_version，注意命名映射关系
ThinkPHP 获取客户端真实 IP 为什么经常出错
因为 request()->ip() 默认只读 REMOTE_ADDR，而这个值在 Nginx + PHP-FPM 架构下通常是上一级代理（如 Nginx）的内网地址，不是用户真实 IP。要拿到真实 IP，必须依赖反向代理设置的 header，比如 X-Forwarded-For 或 X-Real-IP。
实操建议：
- 确认 Web 服务器是否透传了真实 IP：Nginx 需加
proxy_set_header X-Real-IP $remote_addr;，Apache 需加RequestHeader set X-Real-IP "%{REMOTE_ADDR}e" - ThinkPHP 6 允许配置可信代理：
'trust_proxy' => ['127.0.0.1', '192.168.0.0/16']，否则request()->ip(true)不会解析X-Forwarded-For - 不要无条件信任
X-Forwarded-For，它可被客户端伪造；必须配合trust_proxy配置，只从可信代理传来的才采信
ThinkPHP 中 header 大小写和下划线转换的底层逻辑在哪
关键逻辑在 think\Request 类的 header() 方法里，它调用了 input_array() 工具函数，对所有 $_SERVER 中以 HTTP_ 开头的 key 做了 str_replace(' ', '_', ucwords(str_replace(['-', '_'], ' ', strtolower(substr($key, 5)))))) 处理 —— 简单说就是“去前缀→转小写→破折号空格变下划线→首字母大写再转小写”。
这意味着：
-
X-API-Key→x_api_key，不是x_apikey或xapikey -
CONTENT-TYPE和content-type最终都变成content_type，所以大小写不敏感但格式固定 - 如果 header 名含中文或特殊符号（极少见），转换后可能不可预测，此时必须绕过
header()直接读$_SERVER
最易被忽略的一点：这个转换只发生在 header() 方法内，server() 方法不参与转换，所以 request()->server('HTTP_X_API_KEY') 比 request()->header('x_api_key') 更接近原始行为，也更可控。
