PHP是什么格式？从文件后缀到代码结构一次讲清

“PHP是什么格式”这个问题，通常来自看到文件名以 .php 结尾，或下载到一段以 <?php 开头的代码。准确地说，PHP 不是一种图片、文档那样的文件格式，而是一门服务器端编程语言。.php 是常见的源代码文件扩展名；文件里写的是 PHP 代码，也可以混合 HTML、CSS、JavaScript 等内容。

理解这一点很重要：浏览器通常不会直接执行 PHP。请求到达配置了 PHP 运行环境的 Web 服务器后，服务器把 PHP 代码交给 PHP 解释器执行，再将结果（常见的是 HTML）返回给浏览器。下面从文件后缀、代码结构、运行方法讲起，并说明 PHP 适合做什么、不能拿它做什么，以及开发中容易踩到的边界。

一、PHP、.php 文件和运行结果有什么区别？

• PHP：一种编程语言，以及执行这门语言的运行环境。
• .php：惯用的源代码文件扩展名。服务器通常依据配置，把这种文件交给 PHP 处理。
• PHP 程序运行结果：由代码生成并返回的内容，可能是 HTML、JSON、纯文本、图片或其他响应。

扩展名本身并不会让文件“自动变成 PHP”。把一段普通文本改名为 demo.php，不会自动产生可运行程序；反过来，PHP 文件也可以使用其他扩展名，但那需要服务器或命令行明确按 PHP 代码处理。实际项目中通常遵循约定，使用 .php，避免部署和编辑器识别不一致。

PHP 代码不能当成网页文件直接双击后就指望浏览器执行。浏览器只接收服务器返回的内容，不会因为下载内容的文件名是 .php 就执行服务器端代码。若服务器配置错误，把 PHP 源码当普通静态文件发送，代码可能暴露。因此，部署 PHP 站点时必须确认 Web 服务器正确交由 PHP-FPM、Apache 模块或其他 PHP 运行方式处理，并从浏览器实际访问测试。

二、PHP 文件里可以写什么？

PHP 文件可以只包含 PHP，也可以在 PHP 与 HTML 之间切换。PHP 代码通常放在 <?php 和 ?> 之间。下面是一个最小示例：

<?php
echo "Hello, PHP!";

保存为 hello.php。在命令行中进入文件所在目录运行 php hello.php，会看到输出文字。如果通过 Web 服务器访问，输出也会作为 HTTP 响应的一部分返回。PHP 的结束标签在纯 PHP 文件中通常可以省略；这样能避免结束标签之后意外的空格或换行被输出，导致响应头设置过晚等问题。

PHP 也可以嵌入 HTML。下面保存为 greeting.php，在支持 PHP 的服务器上访问时，会先执行 PHP，再把生成的 HTML 发送给浏览器：

<?php
$name = "小林";
?>
<!doctype html>
<html lang="zh-CN">
<meta charset="utf-8">
<title>问候</title>
<h1>你好，<?= htmlspecialchars($name, ENT_QUOTES, "UTF-8") ?>！</h1>

<?= ... ?> 是输出表达式的简写，效果相当于输出该表达式的值。这里使用 htmlspecialchars，是因为输出位置在 HTML 文本中，需要对特殊字符进行编码。示例中的固定字符串不包含恶意内容，但实际值常常来自用户或数据库，不能因为“它是 PHP 变量”就认为可以安全地直接插入 HTML。

三、怎样运行 PHP 代码？

PHP 常见的两种运行方式是命令行和 Web 服务器。选择哪一种，取决于程序要做什么。

1. 使用命令行运行

安装 PHP 后，可以在终端中检查版本并运行脚本：

php -v
php hello.php

也可以用 PHP 自带的开发服务器快速预览简单网页。进入放有 greeting.php 的目录后执行：

php -S 127.0.0.1:8000

然后在浏览器访问 http://127.0.0.1:8000/greeting.php。该内置服务器适合本地开发和测试，不应当作为面向公网的正式生产服务器。生产环境通常会使用 Nginx 或 Apache 配合 PHP-FPM 等组件，并另外配置 HTTPS、日志、进程管理和访问控制。

2. 通过 Web 请求运行

Web 场景中，浏览器发出请求，Web 服务器根据配置把请求交给 PHP 运行环境。PHP 程序可以读取请求参数、访问数据库、检查权限并生成响应。例如，一个返回 JSON 的接口可以写成：

<?php
header("Content-Type: application/json; charset=utf-8");

echo json_encode(
    ["ok" => true, "message" => "请求成功"],
    JSON_UNESCAPED_UNICODE | JSON_THROW_ON_ERROR
);

将它保存为 api.php 并通过 PHP Web 环境访问，响应主体是 JSON。设置响应头要在发送正文之前完成；如果文件开头有 BOM、空格，或在调用 header() 前已经输出内容，可能出现“headers already sent”一类错误。

四、PHP 代码结构的基本组成

1. 变量、表达式与输出

PHP 变量以美元符号 $ 开头，变量名区分大小写。常见数据类型包括整数、浮点数、字符串、布尔值、数组、对象、null 等。下面的脚本可以直接用命令行运行：

<?php
$price = 12.5;
$count = 3;
$total = $price * $count;

echo "总价：", $total, PHP_EOL;

echo 用于输出一个或多个字符串；它不等同于“安全输出”。在命令行中输出文本通常没有 HTML 转义问题，但在网页中，输出内容是否需要转义，取决于它最终进入 HTML 文本、HTML 属性、JavaScript、CSS、URL 等哪个上下文。

2. 条件、循环和函数

PHP 提供常见的条件判断、循环和函数机制。函数可以接收参数并返回结果：

<?php
function add(int $a, int $b): int
{
    return $a + $b;
}

$numbers = [2, 4, 6];
$sum = 0;

foreach ($numbers as $number) {
    $sum = add($sum, $number);
}

echo $sum, PHP_EOL;

这段代码可保存为 sum.php，用 php sum.php 执行，结果是 12。参数和返回值上的类型声明能帮助代码表达预期、及早发现部分错误，但具体行为还与 PHP 版本及严格类型设置有关，不能把它理解为完整的静态类型检查系统。

3. 数组与请求数据

PHP 数组既能作为列表，也能作为键值映射。Web 程序常从 $_GET、$_POST、$_COOKIE 等超全局变量读取请求数据。它们的内容应当被视为外部输入：要检查格式、长度和允许值，不能直接信任。

下面是一个读取查询参数并生成 HTML 的简单示例。保存为 search.php 后，可访问 search.php?q=php：

<?php
$q = $_GET["q"] ?? "";
$q = is_string($q) ? $q : "";

$safeQ = htmlspecialchars($q, ENT_QUOTES | ENT_SUBSTITUTE, "UTF-8");
?>
<p>搜索词：<?= $safeQ ?></p>

代码对输入做了类型处理，并在 HTML 输出上下文中转义。转义不是输入验证的替代品：如果参数用于数据库查询、文件路径或业务判断，还要针对对应用途验证并使用合适的 API。不同输出上下文不能随意复用同一种转义方式，例如 HTML 转义不能代替 SQL 参数化，也不能保证 JavaScript 字符串安全。

4. 文件组织、包含与命名空间

小脚本可以写在一个文件里；项目变大后，应按职责拆分，例如路由、控制器、服务、数据访问和模板。PHP 可以使用 require 或 include 引入文件，缺少必需文件时，require 会导致错误；include 通常会产生警告并继续执行。使用 require_once 可以避免同一文件被重复引入，但不能替代清晰的项目结构。

大型项目常借助 Composer 管理第三方依赖，并通过自动加载加载类。依赖应从可信来源获取，检查许可证和维护状态，并在部署时使用锁定文件保持版本一致。不要随意把用户可控制的内容拼接成 include 路径，否则可能造成任意文件包含风险。

五、PHP 适合哪些场景？

• 动态网站与内容管理系统：根据用户、内容和权限生成页面，常见建站系统和 CMS 可运行在 PHP 环境中。
• Web API 与后端服务：处理 HTTP 请求、验证数据、调用数据库或其他服务，并返回 JSON 等响应。
• 表单和业务系统：实现登录、订单、后台管理、报表等服务端逻辑。身份认证、权限控制和数据校验仍需要开发者正确设计。
• 命令行任务：通过 CLI 脚本执行数据导入、定时任务、批处理和维护工作。定时执行通常还需要系统调度器或专门的任务管理工具。
• 已有 PHP 项目的维护与扩展：当运行环境、团队经验和现有代码都基于 PHP 时，继续使用 PHP 往往更直接。

PHP 不是只用于网页的语言。它也能写命令行程序；但它并不意味着浏览器端 JavaScript 可以省略：需要在浏览器里响应交互的代码仍然要由浏览器支持的技术执行。也不要仅凭语言名称判断应用能否承载某种规模，实际表现还取决于架构、数据库、缓存、服务器配置、代码质量和运维能力。

六、PHP 的参数限制与运行配置

PHP 存在多种配置项，但不能把它们概括成一个通用的“PHP 参数最大值”。不同配置分别影响不同环节；有效值还可能受 PHP 版本、安装方式、系统资源、Web 服务器、代理、应用逻辑以及配置生效范围影响。

配置项	大致影响	需要留意的边界
upload_max_filesize	单个上传文件的 PHP 配置限制	不代表整个请求都可达到该大小，仍受请求体及其他组件限制。
post_max_size	PHP 接受的 POST 请求体大小上限之一	通常应结合文件大小、表单字段和请求开销设置；超过限制时，表单数据可能无法按预期出现在 PHP 中。
max_input_vars	解析输入变量时允许处理的变量数量上限	它限制的是输入变量数量，不是单个字段的字符长度。
memory_limit	脚本可使用的内存限制	不是服务器总内存，也不能替代应用级的内存管理。
max_execution_time	PHP 脚本执行时间相关限制	不同运行环境对超时的处理不同；Web 服务器、反向代理和任务调度器也可能另有限制。

例如，上传文件并不只看 upload_max_filesize。还要核对 post_max_size、Web 服务器或代理的请求体限制、PHP 的临时目录和磁盘空间，以及应用自身的验证规则。对超大文件，通常应设计分块、直传或异步处理方案，而不是盲目调大所有限制。

修改 php.ini 后，配置是否立即生效取决于运行方式，可能需要重启 PHP-FPM 或 Web 服务。命令行 PHP 与 Web 服务使用的配置文件也可能不同。可通过命令行查看配置：

php --ini
php -i

在 Web 环境中，CLI 的结果不一定等于 Web 请求实际使用的设置。排查时应检查对应的 PHP-FPM 池、容器或 Web 运行环境。phpinfo() 会显示大量环境信息，不应在公开站点长期暴露；需要诊断时应限制访问并在完成后移除。

七、PHP 的安全用途与不能保证的事

PHP 可以在服务端实现认证、授权、输入校验、数据访问和安全响应，但“用了 PHP”不等于自动安全。安全性来自正确使用机制、配置环境并检查整条数据流。尤其要避免以下误解：

• PHP 源码不会自动加密。 PHP 文件是服务器端源代码。配置正确时，访问者通常拿到的是程序生成的响应，而不是源文件；服务器配置错误时，源码仍可能泄露。需要保护源码，应使用合适的部署权限、服务器配置和秘密管理方式，不要把密码当成可由 PHP 自动隐藏的内容。
• 输入转义要匹配输出位置。 在 HTML 文本或属性中输出用户数据时，应使用合适的 HTML 编码；输出到 JavaScript、URL 等上下文，要采用针对该上下文的处理方式。最稳妥的做法之一是避免将不可信数据拼进可执行代码。
• 数据库查询要使用参数化。 不要把用户输入直接拼接进 SQL 字符串。以 PDO 为例，可以使用预处理语句：

<?php
$pdo = new PDO(
    "mysql:host=127.0.0.1;dbname=app;charset=utf8mb4",
    "app_user",
    "replace_with_a_secret"
);

$stmt = $pdo->prepare("SELECT id, name FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

这段示例要求已安装并启用 PDO MySQL 驱动，且数据库与账号配置有效；它展示了参数化查询的基本写法，不是完整的生产连接配置。真实项目应妥善管理数据库凭据、启用合适的错误处理，并给数据库账号授予满足业务需要的最小权限。参数化查询也不能自动保护所有动态 SQL 结构，例如表名或排序方向通常不能作为普通值绑定，必须从可信的允许列表中选择。

• 密码不能用普通哈希或明文保存。 PHP 提供 password_hash() 和 password_verify() 处理用户密码哈希。它们适用于密码存储验证，不是通用加密函数，也不意味着其他敏感数据可以直接照搬这种方案。
• 权限检查不能只靠隐藏按钮。 服务端对每个受保护操作都应检查用户身份和资源权限。前端不显示入口，并不能阻止用户直接构造请求。
• 文件上传需要多层检查。 应限制允许的类型和大小，检查实际文件内容，使用安全的文件名和存储位置，并避免把可执行文件放进可公开执行的目录。浏览器提交的 MIME 类型或文件名扩展名都不能单独作为可信依据。
• 错误信息要区分开发与生产。 开发时需要详细错误以便排查；生产环境通常关闭错误直接展示，改为安全记录日志，避免向访问者泄露路径、配置和内部数据。

八、常见错误与排查方式

1. 浏览器下载了 PHP 文件，或显示 PHP 源码

这通常不是文件写法问题，而是服务器没有把该请求正确交给 PHP 处理，或虚拟主机、容器、反向代理配置不匹配。先确认 PHP 已安装并可被对应 Web 服务调用，再检查站点根目录、路由和 PHP-FPM 等配置。不要在公开环境继续放置敏感源码直到问题修复。

2. 终端提示找不到 php

命令行没有找到 PHP 可执行文件，可能是尚未安装 CLI 版本，也可能是可执行文件目录未加入系统的 PATH。即使网站服务器已装有 PHP，当前终端仍可能没有对应的 CLI 环境。分别检查 Web 运行环境与命令行环境。

3. 出现语法错误或版本不兼容

先确认运行脚本的 PHP 版本，再核对语法是否受该版本支持。一个常见原因是代码编辑器、命令行和生产服务器使用了不同版本。部署前应让开发、测试和生产环境尽量保持兼容，并在项目中声明运行时要求。

4. 提示“headers already sent”

这表示响应头准备发送时，正文可能已经输出。检查 header()、Cookie 操作或重定向之前，是否有 HTML、调试输出、空格或文件 BOM。只包含 PHP 代码的文件通常省略结束标签，能减少结束标签后多余内容造成的问题。

5. 中文字符乱码

确认源文件编码、HTTP 响应头和页面声明使用一致的字符集，现代 Web 项目通常采用 UTF-8。与数据库交互时，也应正确配置连接字符集。只在 HTML 中写 charset 并不能修复所有数据库或响应头编码问题。

6. 上传或表单数据突然为空

先确认请求方法和字段名，再查看 PHP 配置中的请求体、上传大小及输入变量数量限制，同时检查 Web 服务器或代理是否拦截了请求。限制超出时，问题可能表现为变量缺失或上传失败，而不一定以清晰的 PHP 异常形式出现。

九、从一个 PHP 文件到项目的实践建议

刚开始学习时，可以用单文件理解变量、函数、表单和输出；但不要把所有业务逻辑、数据库访问和 HTML 长期堆在同一个文件里。项目逐步扩展后，可以按职责分层，并用版本控制记录变更。涉及用户输入的功能，建议逐项确认：数据从哪里来、需要怎样验证、进入什么输出上下文、是否涉及权限或数据库操作。

安装第三方包时，优先使用 Composer 管理依赖，并把依赖锁定文件纳入项目版本管理。上线前检查 PHP 版本、扩展、环境变量、文件权限和错误日志；不要把开发调试页、公开的配置文件或含有密钥的代码放在可被直接访问的位置。对每项运行配置的修改，都应确认它作用于实际运行程序的环境，而不只是本机 CLI。

总结

PHP 不是一种与 Word、PDF 相同的“文件格式”，而是一门常用于服务器端的编程语言。.php 是常见的源代码后缀，文件由 PHP 运行环境解释执行，可以生成 HTML、JSON 等响应，也可以作为命令行脚本运行。判断一个 PHP 文件能否正常工作，既要看代码结构，也要看 PHP 版本、运行方式和服务器配置。

用 PHP 开发时，记住三个关键边界：扩展名不等于运行环境；配置项限制的是不同资源和环节，不能只改一个数值就保证功能可用；语言本身也不会自动提供安全保障。按运行环境部署代码，按数据用途验证和编码输入，使用参数化查询并做好权限检查，才能让 PHP 程序既可运行，也更容易维护。