
我手上有个纯静态的企业服务站，整站就是 index.html 加几个落地页，nginx 直接吐文件，跑了很久没出过事。这次想加个获客用的小工具：访客填自己网址，当场出一份网站体检报告，看看移动端适配和 SEO/GEO 那几项，想看完整版就留个邮箱。前端一个 HTML，后端一个 check_api.php，逻辑不重：抓一下对方首页、查几个关键项、把线索写进 data/leads.json。

本地写完传上去，几个页面挨个 curl 都是 200，我当时就以为成了。

一、405，还有一堆假的 200

拿 curl 打接口：

curl -X POST https://域名/check_api.php -d "domain=example.com"

返回 405 Method Not Allowed。

405 的意思一般是这个 URL 在，但这个 HTTP 方法不被允许。nginx 把 .php 当静态文件吐的时候，往静态文件上 POST 就是这个反应——它压根没交给 PHP 执行。

同一轮还踩了个更阴的：有个英文页面我其实还没建，curl 看状态码也是 200。因为站点配置里有 try_files ... /index.html，不存在的路径全被兜底成首页了。我一开始还用 grep 加 head -1 判断"有没有表单"，空输入也返回 0，差点当成成功。后来改成挨个核对每页真实的 title，六个页面过一遍，才把假 200 全揪出来。

所以后来我把顺序定死了：先看状态码，再看响应体里到底是什么，别信一个数字。

二、病根是 nginx 里一条老规则

登上去看配置，PHP-FPM 是跑着的（8.3），但整站只有一处 PHP 转发，还限定在 /webhook/ 路径底下——那是很早以前接的一个 webhook 留下的。别的 .php 全落进静态 location，不 405 才怪。

补一段 location，把普通 .php 交给 PHP-FPM，同时不碰原来那条 webhook 规则：

location ~ ^(?!.*/webhook/).*\.php$ {
　　fastcgi_pass unix:/run/php/php8.3-fpm.sock;
　　include /etc/nginx/fastcgi_params;
　　fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
　　fastcgi_param SCRIPT_NAME $fastcgi_script_name;
　　try_files $uri =404;
}

三个地方别省。前面那个负向前瞻是为了让 /webhook/ 继续走原来的处理，别跟新规则抢；fastcgi_pass 的路径得照本机实际情况写，宝塔装的 PHP 和 apt 装的 PHP-FPM，socket 位置不一样，先 ls /run/php/ 看一眼再抄；try_files 那条保证不存在的 php 直接 404，不至于又兜底成首页。

改完 nginx -t 验语法，再 nginx -s reload，POST 立刻返回正常 JSON 了。

这里我还犯了个蠢：第一次写补丁的时候把"是否已打过"的判断写反了，脚本报 SKIP，我还以为语法过了就没事。补丁没生效，配置当然也没变。改完重打才对。

三、接口通了，线索却写不进去

体检结果能出来，data/leads.json 是空的。

原因很朴素：PHP-FPM 的进程用户是 www-data，web 目录属主是 root，data/ 它自己建不了、也写不进去。

mkdir -p /网站目录/data
chown www-data:www-data /网站目录/data
chmod 755 /网站目录/data

重打一次带邮箱的请求，线索就落盘了。这类"接口 200 但没数据"的毛病，第一反应应该去看进程用户和目录属主，不是回头改业务代码——我这次就是先怀疑了半天自己写的 PHP。

四、能抓外站的接口，先把门关上

这个接口会按用户输入的域名去抓对方网站，是明摆着的 SSRF 入口。上线前至少做三件事：输入只认合法域名，IP 直填、127.0.0.1、localhost、内网段一律拒；出站超时设死、跟随跳转设上限，禁止落到内网地址；结果只回自己算出来的结论，不把原始响应体吐给访客。

我实测 domain=127.0.0.1 被输入校验当场拦下，解析不了的域名返回"无法访问"，不是把错误堆栈甩给访客。一个免费的小工具要是被人拿去当代理扫内网，最后收拾残局的是自己。

五、收尾

这回前后折腾最久的其实不是 PHP，是 nginx 里那条谁都快忘了的 /webhook/ 老规则，还有"返回 200 就当成好了"这个惯性。运维干久了，多数事故不是不会配，是没验。

上线前我把六个页面的 title 挨个核了一遍、POST 实测过、语法验过再 reload、留资真写进去、内网和非法域名各打一发、sitemap 和 llms.txt 补了新页面、测试产生的假线索清干净了没污染线索池。清单不复杂，漏一项就够找半天的。

你踩过哪个更邪门的 405，评论区说说。
```

我手上有个纯静态的企业服务站，整站就是 index.html 加几个落地页，nginx 直接吐文件，跑了很久没出过事。这次想加个获客用的小工具：访客填自己网址，当场出一份网站体检报告，看看移动端适配和 SEO/GEO 那几项，想看完整版就留个邮箱。前端一个 HTML，后端一个 check_api.php，逻辑不重：抓一下对方首页、查几个关键项、把线索写进 data/leads.json。

给纯静态站加一个 PHP 接口，POST 一直返回 405

纯静态站加了个能留资的 PHP 体检接口，POST 一直返回 405。查下来是 nginx 里只有一条老的 /webhook/ 规则配了 PHP 转发，其余 .php 全被当静态文件吐。补一段 location 后接口通了，紧接着又撞上两个坑：状态码 200 是假的，try_files 把不存在的路径兜底成首页；线索写不进 data 目录，是 www-data 没权限。最后把能抓外站的 SSRF

运维

后端

安全

纯静态站加PHP接口后遭遇405，根因是nginx仅转发webhook路径。补上普通.php的location转发并加负向前瞻避开老规则。注意data目录写入权限，接口需校验域名防SSRF。上线前务必核对页面真实title和测试留资落盘，别信返回200。

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

给纯静态站加一个 PHP 接口，POST 一直返回 405-腾讯云开发者社区-腾讯云

给纯静态站加一个 PHP 接口，POST 一直返回 405

给纯静态站加一个 PHP 接口，POST 一直返回 405

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐