应使用 $_SERVER[‘HTTP_HOST’] 获取原始域名并剥离端口后校验白名单，支持子域通配和大小写忽略，拒绝非法Host，禁止用$_SERVER[‘SERVER_NAME’]或模糊匹配。
用 $_SERVER['HTTP_HOST'] 获取原始域名，别用 $_SERVER['SERVER_NAME']
真实请求中，$_SERVER['HTTP_HOST'] 是客户端发来的 Host 头，反映用户实际访问的域名（比如 shop.example.com 或 example.com:8080）；而 $_SERVER['SERVER_NAME'] 来自服务器配置，可能被 Nginx/Apache 强制覆盖，不具可信性。白名单校验必须基于前者。
注意点：
-
$_SERVER['HTTP_HOST']可能带端口（如dev.example.com:8000），白名单比对前建议先剥离端口：parse_url('http://' . $_SERVER['HTTP_HOST'], PHP_URL_HOST) - 若应用走反向代理（如 Nginx + PHP-FPM），需确认
proxy_set_header Host $host;已正确透传，否则HTTP_HOST可能为空或为代理地址 - HTTPS 下部分旧环境可能误将
HTTP_HOST写成HTTPS_HOST—— 不存在该变量，纯属误写
白名单数组定义与域名匹配逻辑：支持子域、忽略大小写、防伪协议头
白名单应是纯域名列表（不含 http:// 或路径），比对时统一转小写，并考虑子域通配需求（如允许 *.example.com）。
常见做法：
立即学习“PHP免费学习笔记（深入）”；
- 用
in_array(strtolower($host), $whitelist)判断精确匹配 - 若需支持通配符，遍历白名单项，对形如
'*.example.com'的条目，用substr($host, -strlen($pattern) + 1) === substr($pattern, 1)检查后缀 - 绝对不要用
strpos($host, $pattern)直接模糊匹配 ——example.com会错误匹配myexample.com - 避免用正则（如
preg_match）做简单域名判断，无必要开销，且易写错边界
注意 HTTPS 重定向和本地开发环境的干扰
生产环境常强制 HTTPS，但本地开发（localhost、127.0.0.1）或测试环境（test.app）通常不走 HTTPS，这些域名必须显式加入白名单，否则中间件直接拦截。
