PHP: aktuelle URL auslesen – sicher, mit HTTPS & Port

Ob für Canonical-Tags, Weiterleitungen nach dem Login oder Share-Buttons: Die aktuell aufgerufene URL braucht man in PHP immer wieder. PHP liefert sie nicht als fertigen Wert – sie muss aus mehreren Einträgen in $_SERVER zusammengesetzt werden. Dabei gibt es ein paar Fallstricke, an denen auch die erste Version dieses Snippets gescheitert ist.

Das Snippet

<?php
declare(strict_types=1);

/**
 * Liefert die aktuell aufgerufene URL, z. B. https://example.com/blog/?page=2
 *
 * @param string[] $allowedHosts erlaubte Hostnamen (Schutz vor Host-Header-Injection)
 * @param bool     $trustProxy   X-Forwarded-Proto auswerten (nur hinter eigenem Proxy!)
 */
function getCurrentUrl(array $allowedHosts, bool $trustProxy = false): string
{
    $https = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off')
        || (int) ($_SERVER['SERVER_PORT'] ?? 0) === 443;

    if ($trustProxy && isset($_SERVER['HTTP_X_FORWARDED_PROTO'])) {
        $https = strtolower(explode(',', $_SERVER['HTTP_X_FORWARDED_PROTO'])[0]) === 'https';
    }

    // HTTP_HOST enthält bei Nicht-Standard-Ports bereits den Port, z. B. "localhost:8080"
    $host = strtolower($_SERVER['HTTP_HOST'] ?? '');
    $hostname = preg_replace('/:\d+$/', '', $host);

    if (!in_array($hostname, $allowedHosts, true)) {
        $host = $allowedHosts[0];
    }

    return ($https ? 'https' : 'http') . '://' . $host . ($_SERVER['REQUEST_URI'] ?? '/');
}

Verwendung:

$url = getCurrentUrl(['example.com', 'www.example.com']);

// bei der Ausgabe in HTML immer maskieren!
echo '<link rel="canonical" href="' . htmlspecialchars($url, ENT_QUOTES) . '">';

Getestet mit PHP 8.5 – Ergebnisse für typische Server-Konstellationen:

Situation	Ergebnis
HTTPS auf Port 443	https://example.com/blog/?page=2
HTTP auf Port 8080	http://example.com:8080/a
hinter Proxy mit X-Forwarded-Proto: https	https://example.com/
gefälschter Host evil.test	https://example.com/x (Fallback auf erlaubte Domain)
HTTPS = off	http://www.example.com/

Was am alten Snippet falsch war

Die ursprüngliche Version aus 2017 setzte die URL aus SERVER_NAME und SERVER_PORT zusammen und hängte den Port an, sobald er nicht 80 war. Das führte zu drei Problemen:

1. Port-Bug bei HTTPS: Auf Port 443 entstand https://example.com:443/… – technisch gültig, aber unschön und für Canonical-URLs ungeeignet.
2. Falscher Host: SERVER_NAME stammt aus der Webserver-Konfiguration und ist nicht zwingend die Domain, die aufgerufen wurde – etwa bei Aliases oder www-Varianten.
3. HTTPS = off: Laut PHP-Handbuch ist HTTPS bei verschlüsselten Aufrufen „nicht leer“. Manche Server-Setups setzen den Wert bei HTTP aber explizit auf off – ein reines isset() hält das fälschlich für HTTPS. Das neue Snippet prüft deshalb auch darauf.

Welcher $_SERVER-Wert enthält was?

Beispiel-Aufruf: https://example.com:8443/blog/artikel.php?page=2

Schlüssel	Inhalt
HTTP_HOST	example.com:8443 – Host inkl. Port (vom Client gesendet)
SERVER_NAME	Hostname laut Webserver-Konfiguration
SERVER_PORT	8443
HTTPS	nicht leer (meist on), wenn per HTTPS aufgerufen
REQUEST_URI	/blog/artikel.php?page=2 – Pfad inkl. Query-String
QUERY_STRING	page=2
SCRIPT_NAME	/blog/artikel.php

Hinter Proxy, Load Balancer oder Cloudflare

Läuft die Seite hinter einem Reverse Proxy – Cloudflare, ein Load Balancer oder auch ein lokaler Docker-Router –, endet die verschlüsselte Verbindung oft schon dort. PHP sieht dann eine normale HTTP-Verbindung, und $_SERVER['HTTPS'] ist leer. Das ursprüngliche Protokoll übermittelt der Proxy im Header X-Forwarded-Proto, in PHP als $_SERVER['HTTP_X_FORWARDED_PROTO'].

So geht’s in Frameworks

Frameworks erledigen all das bereits – inklusive Proxy-Erkennung, sofern die vertrauenswürdigen Proxies konfiguriert sind.

TYPO3

In TYPO3 stellt der PSR-7-Request die normalisierten Server-Parameter bereit. Sie berücksichtigen auch Reverse-Proxy-Konstellationen und ersetzen das ältere GeneralUtility::getIndpEnv():

/** @var \TYPO3\CMS\Core\Http\NormalizedParams $normalizedParams */
$normalizedParams = $request->getAttribute('normalizedParams');

$url = $normalizedParams->getRequestUrl(); // z. B. https://example.com/blog/?page=2
$uri = $normalizedParams->getRequestUri(); // z. B. /blog/?page=2

Symfony

$url = $request->getUri();                        // mit Query-String
$base = $request->getSchemeAndHttpHost();          // https://example.com

Hinter einem Proxy müssen dessen IP-Adressen über trusted_proxies bzw. Request::setTrustedProxies() freigegeben sein.

Laravel

$url = url()->current();     // ohne Query-String
$full = url()->full();       // mit Query-String

// oder über das Request-Objekt
$url = $request->url();
$full = $request->fullUrl();