A PHP `header` parancs rejtett ereje: Több, mint egyszerű átirányítás

A PHP `header()` parancsa sok fejlesztő számára csupán egy eszköz az oldalak átirányítására, egyfajta digitális útjelző tábla, ami a böngészőket az A pontból B pontba tereli. Pedig a felületes szemlélő számára láthatatlanul, a motorháztető alatt ennél sokkal több rejtőzik. Ez a parancs egy valódi svájci bicska a webfejlesztésben, melynek ereje messze túlmutat a puszta `Location:` átirányításon. Fedezzük fel együtt a `header()` funkció mélységeit és lássuk, hogyan tehetjük vele alkalmazásainkat gyorsabbá, biztonságosabbá és sokoldalúbbá.

### 🔗 Az alapok: Az átirányítás művészete és a `status kódok` jelentősége

Kezdjük azzal, ami a legismertebb: az átirányítás. Amikor a `header(‘Location: https://ujoldal.hu’);` parancsot használjuk, azt mondjuk a böngészőnek, hogy „kérlek, ne itt keress engem, hanem ott!” De vajon tudjuk-e, hogy milyen típusú átirányítást hajtunk végre? A HTTP protokollban az átirányításokhoz különböző **HTTP status kódok** tartoznak, melyek kritikusak a **SEO** és a felhasználói élmény szempontjából.

* **301 Moved Permanently:** Ez a leggyakoribb és legfontosabb, ha egy oldal véglegesen új címre költözött. A keresőmotorok (és a böngészők) megjegyzik ezt a változást, és a jövőben már az új címet fogják indexelni. Ez átadja a „link juice”-t is az új oldalra.
„`php
header(‘Location: https://ujoldal.hu/vegleges-hely’, true, 301);
exit;
„`
* **302 Found (régen Temporary Redirect):** A 302-es státusz azt jelenti, hogy az erőforrás ideiglenesen érhető el egy másik URL-en. A keresőmotorok nem frissítik az indexüket, és nem adják át a SEO értékeket. Ideális például A/B teszteléshez vagy ideiglenes karbantartás esetén.
„`php
header(‘Location: https://ujoldal.hu/ideiglenes-hely’, true, 302);
exit;
„`
* **303 See Other:** Hasonló a 302-höz, de kifejezetten POST kérés után javasolt, hogy a böngészőt egy GET kéréssel vigye át egy másik erőforrásra. Ez megelőzi a „form resubmission” (újraküldés) problémáját.
„`php
header(‘Location: https://ujoldal.hu/eredmeny’, true, 303);
exit;
„`
* **307 Temporary Redirect:** A HTTP/1.1 szabvány pontosabb ideiglenes átirányítása, amely garantálja, hogy a kérés metódusa nem változik. Ha a 302-nél bizonytalanok vagyunk, a 307 gyakran biztonságosabb választás.
* **308 Permanent Redirect:** Ez a 301-es kód modern megfelelője, szintén garantálja, hogy a kérés metódusa nem változik az átirányítás során (pl. POST kérés POST kérés marad).

Fontos megjegyzés: A `header()` parancs után *mindig* használjuk az `exit;` parancsot, különben a PHP tovább futtatja a szkriptet, ami biztonsági rést és nem kívánt viselkedést okozhat.

### 📁 Tartalomvezérlés és fájlkezelés: `Content-Type` és `Content-Disposition`

A `header()` parancs messze túlszárnyalja az átirányítást, amikor a tartalom *típusáról* vagy *kezeléséről* van szó. Ez a képesség teszi lehetővé, hogy a PHP ne csak HTML-t, hanem gyakorlatilag bármilyen fájltípust szolgáljon ki.

**`Content-Type` – Milyen tartalmat küldök?**
Ezzel a fejléccel tudatjuk a böngészővel, hogy milyen típusú adatot kap. Enélkül a böngésző megpróbálja kitalálni, ami néha hibás megjelenítéshez vagy akár biztonsági résekhez vezethet (pl. egy JSON fájlt böngésző HTML-ként próbál értelmezni).

* **HTML:** `header(‘Content-Type: text/html; charset=utf-8’);` (Ez az alapértelmezett a PHP-ban).
* **JSON API:** `header(‘Content-Type: application/json; charset=utf-8’);` – Nélkülözhetetlen egy API válaszánál.
* **XML:** `header(‘Content-Type: application/xml; charset=utf-8’);`
* **PDF:** `header(‘Content-Type: application/pdf’);`
* **CSV:** `header(‘Content-Type: text/csv’);`
* **Képek:** `header(‘Content-Type: image/jpeg’);` vagy `image/png`, `image/gif`.

Ezekkel a fejlécekkel biztosíthatjuk, hogy a böngésző helyesen értelmezze a kapott adatokat, legyen szó egy dinamikusan generált képről vagy egy CSV exportról.

**`Content-Disposition` – Hogyan kezelje a böngésző?**
Ez a fejléc lehetővé teszi, hogy eldöntsük, a böngésző megjelenítse-e a tartalmat (inline) vagy fájlként töltse le (attachment).

* **Fájl letöltése:**
„`php
header(‘Content-Description: File Transfer’);
header(‘Content-Type: application/octet-stream’); // Vagy a fájl specifikus típusa
header(‘Content-Disposition: attachment; filename=”adatok.csv”‘);
header(‘Expires: 0’);
header(‘Cache-Control: must-revalidate’);
header(‘Pragma: public’);
header(‘Content-Length: ‘ . filesize(‘path/to/adatok.csv’));
readfile(‘path/to/adatok.csv’);
exit;
„`
Ez a kód letöltésre kényszeríti a böngészőt, és a `filename` paraméterrel megadhatjuk a letöltött fájl nevét. Ez elengedhetetlen dinamikusan generált jelentések, képek vagy bármilyen felhasználók által letölthető fájl esetében.

### 🚀 Gyorsítótárazás és teljesítmény: A láthatatlan sebességmotor

A `header()` parancs az egyik legerősebb eszköz a webhelyek teljesítményének optimalizálásában. A megfelelő gyorsítótárazási (caching) stratégiával drámaian csökkenthetjük a szerver terhelését és felgyorsíthatjuk az oldalak betöltődését a felhasználók számára.

* **`Cache-Control`:** Ez a modern és rugalmas fejléc a legfontosabb a gyorsítótárazás beállításához.
* `public`: Bármilyen gyorsítótár tárolhatja.
* `private`: Csak a felhasználó böngészője tárolhatja (pl. felhasználóspecifikus tartalom).
* `no-cache`: A gyorsítótárnak minden kérés előtt ellenőriznie kell a szerverrel, hogy az erőforrás friss-e.
* `no-store`: Semmilyen gyorsítótár nem tárolhatja az erőforrást (érzékeny adatoknál).
* `max-age=időmásodpercben`: Mennyi ideig tekinthető érvényesnek az erőforrás anélkül, hogy újra ellenőrizné.
* `must-revalidate`: A gyorsítótárnak ellenőriznie kell az erőforrás érvényességét, ha az elavult.

„`php
// Gyorsítótárazás 1 órára
header(‘Cache-Control: public, max-age=3600’);
// Nincs gyorsítótárazás
header(‘Cache-Control: no-store, no-cache, must-revalidate, max-age=0’);
header(‘Pragma: no-cache’); // HTTP/1.0 kompatibilitás
header(‘Expires: Sat, 26 Jul 1997 05:00:00 GMT’); // Múltbeli dátum
„`
* **`Expires`:** Egy régebbi fejléc, amely egy konkrét időpontot ad meg, ameddig az erőforrás érvényes. A `Cache-Control` rugalmasabb, de az `Expires` hasznos lehet régebbi rendszerekkel való kompatibilitás esetén.
* **`ETag` és `Last-Modified`:** Ezek a feltételes fejlécek lehetővé teszik a böngésző számára, hogy megkérdezze a szervertől, megváltozott-e az erőforrás az utolsó lekérés óta. Ha nem, a szerver 304 Not Modified választ küld, és a böngésző a saját gyorsítótárából szolgálja ki a tartalmat, megspórolva ezzel a teljes tartalom letöltését.
„`php
$lastModified = filemtime(‘path/to/resource.css’);
$etag = md5_file(‘path/to/resource.css’);

header(‘Last-Modified: ‘ . gmdate(‘D, d M Y H:i:s’, $lastModified) . ‘ GMT’);
header(‘ETag: „‘ . $etag . ‘”‘);

if (isset($_SERVER[‘HTTP_IF_MODIFIED_SINCE’]) && strtotime($_SERVER[‘HTTP_IF_MODIFIED_SINCE’]) == $lastModified ||
isset($_SERVER[‘HTTP_IF_NONE_MATCH’]) && trim($_SERVER[‘HTTP_IF_NONE_MATCH’], ‘”‘) == $etag) {
header(‘HTTP/1.1 304 Not Modified’);
exit;
}
// Ha megváltozott vagy először kérik le, küldjük el a tartalmat
echo file_get_contents(‘path/to/resource.css’);
„`
Ez a finomhangolt gyorsítótárazás az oldalankénti ismételt letöltéseket minimálisra csökkenti, drámaian javítva a felhasználói élményt és csökkentve a sávszélesség-használatot.

### 🔒 Biztonsági fejlécek: A pajzs, amit PHP-val építhetsz

A modern web kihívásai megkövetelik, hogy a fejlesztők aktívan tegyenek a biztonságért. A `header()` parancs ezen a téren is kulcsfontosságú. A megfelelő **biztonsági fejlécek** küldésével jelentősen csökkenthetjük a webalkalmazásunkkal szembeni támadások kockázatát.

* **`X-Frame-Options`:** Védelem a Clickjacking ellen. Ez a fejléc megakadályozza, hogy az oldalunkat „, „, „ vagy `