.php 是什么
.php 是 PHP 脚本文件的标准后缀。浏览器直接打开它，通常只会看到源码或下载提示；只有经过 PHP 解析器处理，其中的代码才会执行并输出 HTML 等内容。这也是它和 .html 最本质的区别：.html 由浏览器直接解析，.php 由服务器先执行。
它如何工作
用户请求一个 .php 地址时，Web 服务器把请求交给 PHP 处理器。处理器执行文件中的代码，把结果（通常是 HTML）返回给浏览器。因此同一份 .php 文件，可以按参数、数据库内容或登录状态生成不同页面，这正是动态网站的基础。
常见写法
一个 .php 文件通常以 <?php 开头，可以混合 HTML。常见结构包括变量定义、条件判断、循环、引入其他文件，以及连接数据库查询数据。开发中常把公共头部、尾部拆成独立文件，再用 include 或 require 引入，减少重复代码。
简单示例
<?php
$name = “访客”;
echo “你好，” . $name;
?>
这段代码在服务器执行后，浏览器只看到输出结果，看不到 PHP 源码。
安全与规范要点
第一，不要把 .php 源码文件放在可被直接下载的位置。第二，拼接 SQL 时使用参数化查询，避免注入风险。第三，对用户输入做校验和转义，输出到页面时防止跨站脚本。第四，上传目录不要允许执行脚本。第五，生产环境关闭错误详情展示，避免泄露路径和配置信息。
常见误区
误区一：把 .php 当静态页用。它每次请求都可能执行代码，性能开销高于纯静态文件。误区二：认为改了后缀就安全。安全性取决于代码逻辑和服务器配置，与后缀无关。误区三：在 .php 文件末尾随意省略 ?>，其实纯 PHP 文件省略结束标签反而能避免多余空白输出。
小结
.php 不只是一个后缀，它代表一套“服务器执行、浏览器接收结果”的机制。理解它的运行方式、写法和安全边界，才能让动态页面稳定可用。
