PHP: полный мануал с примерами, функциями и ООП

PHP 4+ · Core

header(string $header, bool $replace = true, int $response_code = 0): void

<?php
declare(strict_types=1);

header('Content-Type: text/plain; charset=UTF-8');
header('X-Catalog: workshop');
echo "Молоток — 8 шт.\n";

Молоток — 8 шт.

Задать метаданные HTTP-ответа: тип содержимого, перенаправление, загрузку файла или правило кэширования.

Здесь $name — переменная, = сохраняет результат, а имя со скобками вызывает функцию. Аргументы разделяют запятыми. echo выводит текст; var_dump также показывает тип. "\n" переводит строку. === false отличает отказ от числа 0, пустой строки и других допустимых значений.

Массив [] собирает элементы; ключ => значение подписывает ячейку. foreach берёт элементы по очереди, if выбирает действие по условию. throw new RuntimeException прекращает нормальный путь при неожиданном отказе, try/finally гарантирует завершающее действие. Имена example.com и адреса документационных диапазонов ниже описывают учебные данные, а не ваши серверы. Вызовы функций и работа с массивами объясняются отдельно.

Эти примеры ответа запускаются через HTTP-сервер. Код PHP CLI не отправляет ответ браузеру: успешный вызов там не доказывает правильность HTTP-заголовков. Заголовки — метаданные ответа, echo — его тело. Сначала формируют статус и метаданные, затем тело. Пробел до <?php, UTF-8 BOM, вывод подключённого файла и сообщение об ошибке тоже могут начать тело.

Этот вариант. Тело равно ready и переводу строки; в заголовках ответа Content-Type: text/plain; charset=UTF-8. Отправка HTTP проверяется отдельно от синтаксиса.

<?php
declare(strict_types=1);

header('Content-Type: text/plain; charset=UTF-8');
echo "ready\n";

ready

Этот вариант. Учебное X-Lesson допускает наглядный тест. Не заменяйте так Set-Cookie с несколькими cookies и не объединяйте автоматически любые HTTP-поля.

<?php
declare(strict_types=1);

header('Content-Type: text/plain; charset=UTF-8');
header('X-Lesson: first');
header('X-Lesson: second');
header('X-Lesson: third', false);
foreach (headers_list() as $line) {
    if (str_starts_with($line, 'X-Lesson:')) { echo $line, "\n"; }
}

X-Lesson: second
X-Lesson: third

Этот вариант. Ответ имеет статус 303 и Location: /done, тело пустое. exit прекращает PHP; сам header не прекращает выполнение. В реальном обработчике это делают после проверки и сохранения формы, до вывода.

<?php
declare(strict_types=1);

header('Location: /done', true, 303);
exit;

Location не переносит тело страницы на другой адрес: браузер делает следующий запрос. Не собирайте цель перенаправления из непроверенного HTTP_HOST/пользовательского URL; для локального маршрута достаточно заранее известного пути. Идентификаторы сессий не добавляют в URL: они попадут в историю и журналы.

Буферизация позволяет отложить вывод, но требует памяти и не отменяет порядок HTTP. Что делает ob_start объясняет механизм.

Дальше: http_response_code; headers_sent; headers_list; header_remove.

Принимает полную строку заголовка. replace управляет заменой одноимённого заголовка, третий аргумент может задать статус. Полезного возвращаемого значения нет; после отправки тела возникает предупреждение. Вызывается в HTTP SAPI до вывода.

Этот вариант. Фиксированный локальный путь исключает произвольный return_url. Контекст: HTTP-контроллер после сохранения заказа.

<?php
declare(strict_types=1);

header('Location: /orders/complete', true, 303);
exit;

Этот вариант. Ответ с персональным состоянием не должен попадать в общий кеш. Сериализацию сложного тела лучше сделать до header.

<?php
declare(strict_types=1);

header('Content-Type: application/json; charset=utf-8');
header('Cache-Control: no-store');
echo json_encode(['status'=>'pending'], JSON_THROW_ON_ERROR);

Рядом по задаче. http_response_code задаёт статус, setcookie формирует cookie. Буфер помогает собрать тело.

• PHP: header
• PHP: function.header

PHP 5.4+ · Core

http_response_code(int $response_code = 0): int|bool

<?php
declare(strict_types=1);

http_response_code(404);
header('Content-Type: application/json; charset=UTF-8');
echo json_encode(['error'=>'Товар не найден', 'id'=>99], JSON_UNESCAPED_UNICODE | JSON_THROW_ON_ERROR);

{"error":"Товар не найден","id":99}

Установить или прочитать статус HTTP-ответа отдельно от его текста.

Здесь $name — переменная, = сохраняет результат, а имя со скобками вызывает функцию. Аргументы разделяют запятыми. echo выводит текст; var_dump также показывает тип. "\n" переводит строку. === false отличает отказ от числа 0, пустой строки и других допустимых значений.

Массив [] собирает элементы; ключ => значение подписывает ячейку. foreach берёт элементы по очереди, if выбирает действие по условию. throw new RuntimeException прекращает нормальный путь при неожиданном отказе, try/finally гарантирует завершающее действие. Имена example.com и адреса документационных диапазонов ниже описывают учебные данные, а не ваши серверы. Вызовы функций и работа с массивами объясняются отдельно.

Эти примеры ответа запускаются через HTTP-сервер. Код PHP CLI не отправляет ответ браузеру: успешный вызов там не доказывает правильность HTTP-заголовков. Заголовки — метаданные ответа, echo — его тело. Сначала формируют статус и метаданные, затем тело. Пробел до <?php, UTF-8 BOM, вывод подключённого файла и сообщение об ошибке тоже могут начать тело.

Этот вариант. HTTP-клиент получает 404. Даже если тело содержит красивую страницу ошибки, сам статус должен сообщать об отсутствии ресурса.

<?php
declare(strict_types=1);

$previous = http_response_code(404);
header('Content-Type: text/plain; charset=UTF-8');
echo $previous, "\n";
echo http_response_code(), "\n";

200
404

Этот вариант. CLI не отправляет HTTP. Сначала получаем/меняем состояние, затем выводим: ранний var_dump в PHP 8.5.11 может пометить заголовки отправленными и сорвать последующую установку кода. Изменение внутреннего значения не является тестом ответа сервера.

<?php
declare(strict_types=1);

$before = http_response_code();
$changed = http_response_code(201);
$after = http_response_code();
var_dump($before, $changed, $after);

bool(false)
bool(true)
int(201)

Дальше: header; headers_sent.

Без аргумента возвращает текущий код при наличии HTTP-контекста; с кодом меняет статус и обычно возвращает прежний. В CLI результат отличается, поэтому пример проверяется как HTTP-фрагмент.

Этот вариант. HTTP API сообщает, что запрос разобран, но значение не проходит правило.

<?php
declare(strict_types=1);

http_response_code(422);
header('Content-Type: application/json');
echo json_encode(['errors'=>['quantity'=>'range']],JSON_THROW_ON_ERROR);

Этот вариант. 405 сопровождается списком разрешённых методов. Это отличается от отсутствующего маршрута 404.

<?php
declare(strict_types=1);

http_response_code(405);
header('Allow: GET, POST');
exit;

Рядом по задаче. header нужен для полей ответа, а не для хранения ошибки. 422 и ошибки полей.

• PHP: http_response_code
• PHP: function.http-response-code

PHP 4+ · Core

headers_sent(string &$filename = null, int &$line = null): bool

<?php
declare(strict_types=1);

ob_start();
echo "Молоток — 8 шт.\n";
if (headers_sent($file, $line)) { throw new RuntimeException('Метаданные уже отправлены'); }
header('Content-Type: text/plain; charset=UTF-8');
header('X-Report-State: prepared-before-output');
ob_end_flush();

Молоток — 8 шт.

Проверить, можно ли ещё менять HTTP-заголовки, и найти место, где начался вывод.

Здесь $name — переменная, = сохраняет результат, а имя со скобками вызывает функцию. Аргументы разделяют запятыми. echo выводит текст; var_dump также показывает тип. "\n" переводит строку. === false отличает отказ от числа 0, пустой строки и других допустимых значений.

Массив [] собирает элементы; ключ => значение подписывает ячейку. foreach берёт элементы по очереди, if выбирает действие по условию. throw new RuntimeException прекращает нормальный путь при неожиданном отказе, try/finally гарантирует завершающее действие. Имена example.com и адреса документационных диапазонов ниже описывают учебные данные, а не ваши серверы. Вызовы функций и работа с массивами объясняются отдельно.

Эти примеры ответа запускаются через HTTP-сервер. Код PHP CLI не отправляет ответ браузеру: успешный вызов там не доказывает правильность HTTP-заголовков. Заголовки — метаданные ответа, echo — его тело. Сначала формируют статус и метаданные, затем тело. Пробел до <?php, UTF-8 BOM, вывод подключённого файла и сообщение об ошибке тоже могут начать тело.

Этот вариант. ob_start создаёт буфер, ob_end_clean выбрасывает его содержимое. До var_dump тело не отправлялось; слово temporary клиент не увидит.

<?php
declare(strict_types=1);

ob_start();
echo 'temporary';
$sent = headers_sent($file, $line);
ob_end_clean();
var_dump($sent);

bool(false)

Этот вариант. HTTP-fixture запускается с output_buffering=0 и без дополнительных буферов. На другом сервере flush не гарантирует немедленное отображение в браузере: остаются буферы сервера/прокси.

<?php
declare(strict_types=1);

echo "body starts\n";
flush();
$sent = headers_sent($file, $line);
var_dump($sent);
echo $sent && $file !== '' && $line > 0 ? "Output origin known\n" : "No origin\n";

body starts
bool(true)
Output origin known

Проверка помогает диагностировать проблему, но ветка «если уже отправлено, просто промолчим» может скрыть сломанный redirect или cookie. Исправляют ранний вывод и порядок формирования ответа. В публичную страницу не выводят полный внутренний путь файла.

Дальше: header; headers_list; setcookie.

Возвращает bool, а параметры по ссылке сообщают файл и строку начала вывода, если доступны. Полезно для диагностики раннего echo, BOM и пробела до PHP.

Этот вариант. Путь и строку можно добавить в закрытый технический журнал; не выводите их посетителю. HTTP-контекст.

<?php
declare(strict_types=1);

if (headers_sent($file,$line)) {
    error_log('Response output already started');
    exit;
}
header('Location: /account',true,303);
exit;

Этот вариант. Контракт ловит ошибку вызывающего слоя раньше попытки setcookie. Сама функция не чинит уже отправленное тело.

<?php
declare(strict_types=1);

function requireWritableHeaders(): void {
    if (headers_sent()) throw new LogicException('Response already started');
}

Рядом по задаче. ob_get_level показывает стек пользовательских буферов. Разбор буферизации.

• PHP: headers_sent
• PHP: function.headers-sent

PHP 4+ · Core

setcookie(string $name, string $value = "", int|array $expires_or_options = 0, string $path = "", string $domain = "", bool $secure = false, bool $httponly = false): bool

<?php
declare(strict_types=1);

require __DIR__ . '/base.php';
$client = curl_init($base . '/product?id=1');
if ($client === false) { throw new RuntimeException('cURL не создал клиент'); }
curl_setopt_array($client, [CURLOPT_RETURNTRANSFER => true, CURLOPT_TIMEOUT => 2, CURLOPT_CONNECTTIMEOUT => 1]);
curl_setopt($client, CURLOPT_COOKIEFILE, '');
curl_setopt($client, CURLOPT_URL, $base . '/cookie/set');
$body = curl_exec($client);
if ($body === false) { throw new RuntimeException('Нет ответа: '.curl_error($client)); }
if (curl_getinfo($client, CURLINFO_RESPONSE_CODE) !== 200) { throw new RuntimeException('Сервис отклонил запрос'); }
echo $body;
curl_setopt($client, CURLOPT_URL, $base . '/cookie/read');
$body = curl_exec($client);
if ($body === false) { throw new RuntimeException('Нет ответа: '.curl_error($client)); }
if (curl_getinfo($client, CURLINFO_RESPONSE_CODE) !== 200) { throw new RuntimeException('Сервис отклонил запрос'); }
echo $body;

Тема входящего запроса: не выбрана
Тема следующего запроса: blue sky

Сохранить небольшую настройку браузера и получить её в следующем запросе, понимая границу доверия к клиенту.

Здесь $name — переменная, = сохраняет результат, а имя со скобками вызывает функцию. Аргументы разделяют запятыми. echo выводит текст; var_dump также показывает тип. "\n" переводит строку. === false отличает отказ от числа 0, пустой строки и других допустимых значений.

Массив [] собирает элементы; ключ => значение подписывает ячейку. foreach берёт элементы по очереди, if выбирает действие по условию. throw new RuntimeException прекращает нормальный путь при неожиданном отказе, try/finally гарантирует завершающее действие. Имена example.com и адреса документационных диапазонов ниже описывают учебные данные, а не ваши серверы. Вызовы функций и работа с массивами объясняются отдельно.

Сначала браузер отправляет запрос с уже имеющимися cookies; PHP заполняет $_COOKIE. Затем setcookie добавляет Set-Cookie в ответ. Если браузер принял его, значение вернётся в следующем подходящем запросе. Поэтому новый вызов сам по себе не переписывает текущий $_COOKIE. Для текущего вычисления используйте свою переменную.

Этот вариант. HTTP-пример первого запроса без Cookie. В fixture проверяют Set-Cookie, затем повторяют запрос с присланной cookie. На HTTPS-сайте добавляют secure=true; здесь локальный учебный HTTP без пользовательских секретов.

<?php
declare(strict_types=1);

$theme = 'dark';
$queued = setcookie('lesson_theme', $theme, [
    'path' => '/', 'httponly' => true, 'samesite' => 'Lax',
]);
header('Content-Type: text/plain; charset=UTF-8');
var_dump($queued);
echo $_COOKIE['lesson_theme'] ?? 'not received yet', "\n";

bool(true)
not received yet

Этот вариант. Массив cookies — fixture входящего $_COOKIE. ?? задаёт значение при отсутствии/null, in_array со strict=true проверяет разрешённый набор. Случайный текст клиента не попадает в имя файла шаблона.

<?php
declare(strict_types=1);

$cookies = ['lesson_theme' => 'unexpected'];
$candidate = $cookies['lesson_theme'] ?? 'light';
$theme = is_string($candidate) && in_array($candidate, ['light', 'dark'], true)
    ? $candidate : 'light';
echo $theme, "\n";

light

Этот вариант. Ответ просит браузер удалить cookie. Имя, Path и Domain должны соответствовать установленной cookie; host-only не подменяют произвольным Domain. Для partitioned учитывают ту же клиентскую область. Текущий $_COOKIE не очищается автоматически.

<?php
declare(strict_types=1);

setcookie('lesson_theme', '', [
    'expires' => time() - 3600, 'path' => '/', 'httponly' => true, 'samesite' => 'Lax',
]);
echo "Deletion requested\n";

Deletion requested

Этот вариант. Второй случай требует PHP 8.5. Мы выводим накопленные результаты после всех вызовов, чтобы не спутать ошибки опций с ранним выводом.

<?php
declare(strict_types=1);

$results = [];
try { setcookie('lesson', 'x', ['unknown' => true]); }
catch (ValueError $error) { $results[] = 'Unknown option'; }
try { setcookie('lesson', 'x', ['partitioned' => true, 'secure' => false]); }
catch (ValueError $error) { $results[] = 'Partitioned requires Secure'; }
echo implode("\n", $results), "\n";

Unknown option
Partitioned requires Secure

Этот вариант. Значение кодируется для транспорта и декодируется PHP на входе. Кодирование не является шифрованием/подписью. Смотрите именно заголовок HTTP-fixture.

<?php
declare(strict_types=1);

setcookie('lesson_text', 'A B+', ['path' => '/']);
foreach (headers_list() as $line) {
    if (str_starts_with($line, 'Set-Cookie: lesson_text=')) { echo $line, "\n"; }
}

Set-Cookie: lesson_text=A%20B%2B; path=/

Можно назвать отдельные cookies вида prefs[color], и PHP соберёт их в массив, но в браузере останутся отдельные cookies. Для небольшого составного значения допустим JSON с проверкой размера и структуры; не используйте unserialize для недоверенной cookie. Размеры/число cookies ограничены браузерами, а отправляются они с каждым подходящим запросом: большие данные хранят на сервере.

С PHP 8.2 формат даты Expires изменён на вариант с пробелами, но вы всё равно передаёте Unix timestamp. Несколько setcookie формируют отдельные строки в порядке вызова. Буферизация может отложить отправку, но не сообщает, принял ли браузер cookie. Откуда берётся $_COOKIE и проверка данных и безопасность развивают тему.

Дальше: setrawcookie; header; headers_sent.

Вариант с options принимает expires, path, domain, secure, httponly и samesite. Возвращает успешность подготовки заголовка, но не подтверждение принятия браузером. Неверные параметры могут вызвать исключение.

Этот вариант. HTTPS-страница сохраняет несекретное предпочтение. Если JavaScript должен читать тему, HttpOnly меняют осознанно.

<?php
declare(strict_types=1);

setcookie('theme','dark',['expires'=>time()+86400,'path'=>'/','secure'=>true,'httponly'=>true,'samesite'=>'Lax']);

Этот вариант. Истёкший cookie с тем же путём просит браузер удалить значение. Это не удаляет данные серверной сессии.

<?php
declare(strict_types=1);

setcookie('theme','',['expires'=>time()-3600,'path'=>'/','secure'=>true,'httponly'=>true,'samesite'=>'Lax']);

Рядом по задаче. Для идентификатора сессии используйте session_set_cookie_params/session_start; для состояния корзины — серверное хранилище.

• PHP: setcookie
• PHP: function.setcookie