【PHP】現在のURLを取得する方法｜$_SERVER・parse_url・WordPress対応

この記事で学べること

• $_SERVER変数で現在のURLを取得する基本
• プロトコル・ホスト名・ポート・パス・クエリ文字列の個別取得
• parse_url() でURLを分解する方法
• http_build_query() でクエリ文字列を組み立てる方法
• WordPress専用のURL取得関数
• $_SERVERのセキュリティリスクと対策
• 実務で使えるURL操作パターン集

// 現在のURLを取得する
$url = 'http://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

echo $url;
// 例: http://example.com/path/to/page?id=123

注意：上の例ではプロトコルを http:// に固定していますが、実際のサイトではHTTPSかどうかを判定する必要があります。次のセクションで正しい方法を解説します。

// プロトコルを判定する
$scheme = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on')
    ? 'https'
    : 'http';

// 完全なURLを組み立てる
$url = $scheme . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

echo $url;
// 例: https://example.com/path/to/page?id=123

ポイント：$_SERVER['HTTPS'] はHTTPS接続時に 'on' がセットされます。HTTP接続時はキー自体が存在しないか、空文字列になります。そのため isset() で存在チェックを行いましょう。

// リバースプロキシ対応のHTTPS判定
function isHttps(): bool
{
    // 1. 直接HTTPS接続
    if (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') {
        return true;
    }

    // 2. リバースプロキシ経由（X-Forwarded-Proto ヘッダー）
    if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
        return true;
    }

    // 3. ポート番号で判定
    if (isset($_SERVER['SERVER_PORT']) && (int)$_SERVER['SERVER_PORT'] === 443) {
        return true;
    }

    return false;
}

$scheme = isHttps() ? 'https' : 'http';
$url = $scheme . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

// ポート番号を含むURLの組み立て
function getCurrentUrl(): string
{
    $scheme = isHttps() ? 'https' : 'http';
    $host   = $_SERVER['HTTP_HOST'];
    $port   = (int)$_SERVER['SERVER_PORT'];
    $uri    = $_SERVER['REQUEST_URI'];

    // デフォルトポート（80, 443）の場合はポートを省略
    $portStr = '';
    if (($scheme === 'http' && $port !== 80) || ($scheme === 'https' && $port !== 443)) {
        // HTTP_HOST にポートが含まれていない場合のみ付与
        if (strpos($host, ':') === false) {
            $portStr = ':' . $port;
        }
    }

    return $scheme . '://' . $host . $portStr . $uri;
}

echo getCurrentUrl();
// 例: http://localhost:8080/myapp/index.php?page=1

ポイント：HTTP_HOST はブラウザが送信する Host ヘッダーの値で、ポート番号が含まれる場合があります（例: localhost:8080）。重複を避けるため、strpos() でコロンの有無をチェックしています。

https://example.com:8080/blog/article.php?id=123&page=2#section1
|____| |___________||___||_________________||_______________||______|
scheme    host       port     path           query string   fragment

// アクセスURL: https://example.com:8080/blog/article.php?id=123&page=2

// プロトコル
$scheme = $_SERVER['REQUEST_SCHEME'] ?? 'http';
echo $scheme;  // "https"

// ホスト名
$host = $_SERVER['HTTP_HOST'];
echo $host;  // "example.com:8080"（ポート含む場合あり）

// サーバー名（ポートを含まない）
$serverName = $_SERVER['SERVER_NAME'];
echo $serverName;  // "example.com"

// ポート番号
$port = $_SERVER['SERVER_PORT'];
echo $port;  // "8080"

// パス＋クエリ文字列
$requestUri = $_SERVER['REQUEST_URI'];
echo $requestUri;  // "/blog/article.php?id=123&page=2"

// クエリ文字列のみ
$query = $_SERVER['QUERY_STRING'];
echo $query;  // "id=123&page=2"

// スクリプトのパス（クエリ文字列なし）
$scriptName = $_SERVER['SCRIPT_NAME'];
echo $scriptName;  // "/blog/article.php"

// パスのみ（REQUEST_URIからクエリ文字列を除去）
$path = strtok($_SERVER['REQUEST_URI'], '?');
echo $path;  // "/blog/article.php"

// アクセスURL: /index.php/extra/path?key=value

echo $_SERVER['REQUEST_URI'];  // "/index.php/extra/path?key=value"
echo $_SERVER['PHP_SELF'];     // "/index.php/extra/path"
echo $_SERVER['SCRIPT_NAME']; // "/index.php"
echo $_SERVER['PATH_INFO'];    // "/extra/path"
echo $_SERVER['QUERY_STRING']; // "key=value"

使い分けのポイント：完全なURLを組み立てるなら REQUEST_URI、クエリ文字列なしのパスだけなら SCRIPT_NAME、パスの追加情報が必要なら PHP_SELF を使います。ただし PHP_SELF にはXSSリスクがあるので注意が必要です（セキュリティの章で詳しく解説します）。

$url = 'https://example.com:8080/blog/article.php?id=123&page=2#section1';

$parsed = parse_url($url);

print_r($parsed);

Array
(
    [scheme] => https
    [host] => example.com
    [port] => 8080
    [path] => /blog/article.php
    [query] => id=123&page=2
    [fragment] => section1
)

注意：parse_url() は存在しないパーツのキーは返しません。たとえばポート番号がないURLでは port キーが配列に含まれません。アクセス前に isset() や null合体演算子（??）でチェックしましょう。

$url = 'https://example.com/blog/article.php?id=123';

// 個別に取得
echo parse_url($url, PHP_URL_SCHEME);  // "https"
echo parse_url($url, PHP_URL_HOST);    // "example.com"
echo parse_url($url, PHP_URL_PORT);    // null（ポート未指定）
echo parse_url($url, PHP_URL_PATH);    // "/blog/article.php"
echo parse_url($url, PHP_URL_QUERY);   // "id=123"

// 現在のURLを組み立ててから分解する
$currentUrl = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http')
    . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

$parts = parse_url($currentUrl);

// パスだけ取得
$path = $parts['path'] ?? '/';

// クエリ文字列を連想配列に変換
$queryParams = [];
if (isset($parts['query'])) {
    parse_str($parts['query'], $queryParams);
}

print_r($queryParams);
// Array ( [id] => 123 [page] => 2 )

ポイント：parse_str() はクエリ文字列を連想配列に変換する関数です。parse_url() と組み合わせることで、URLのクエリパラメータを簡単に操作できます。

$params = [
    'category' => 'php',
    'page'     => 2,
    'sort'     => 'date',
];

$query = http_build_query($params);

echo $query;
// category=php&page=2&sort=date

$params = [
    'tags' => ['php', 'laravel', 'mysql'],
    'page' => 1,
];

echo http_build_query($params);
// tags%5B0%5D=php&tags%5B1%5D=laravel&tags%5B2%5D=mysql&page=1

// デコードすると: tags[0]=php&tags[1]=laravel&tags[2]=mysql&page=1

$params = ['name' => '田中 太郎'];

// RFC 1738（デフォルト）: スペースが + になる
echo http_build_query($params, '', '&', PHP_QUERY_RFC1738);
// name=%E7%94%B0%E4%B8%AD+%E5%A4%AA%E9%83%8E

// RFC 3986: スペースが %20 になる
echo http_build_query($params, '', '&', PHP_QUERY_RFC3986);
// name=%E7%94%B0%E4%B8%AD%20%E5%A4%AA%E9%83%8E

// 現在のURLのクエリパラメータを取得
$currentQuery = $_SERVER['QUERY_STRING'] ?? '';
parse_str($currentQuery, $params);

// パラメータを追加・変更
$params['page'] = 3;
$params['sort'] = 'popular';

// 不要なパラメータを削除
unset($params['debug']);

// URLを再構築
$newQuery = http_build_query($params);
$path = strtok($_SERVER['REQUEST_URI'], '?');
$newUrl = $path . '?' . $newQuery;

echo $newUrl;
// 例: /blog/article.php?id=123&page=3&sort=popular

実務でのコツ：クエリパラメータの操作は、ページネーション、フィルタ、ソートなどのUI実装で頻繁に使います。parse_str() + http_build_query() の組み合わせを覚えておくと、URLの組み立てがスムーズになります。

// サイトURL関連
echo home_url();        // https://example.com
echo home_url('/about');  // https://example.com/about
echo site_url();        // https://example.com（通常はhome_urlと同じ）
echo admin_url();       // https://example.com/wp-admin/
echo content_url();     // https://example.com/wp-content

// パスを連結
echo home_url('/category/php/');  // https://example.com/category/php/
echo admin_url('edit.php');       // https://example.com/wp-admin/edit.php

// 現在の投稿・固定ページのURL（ループ内）
echo get_permalink();   // https://example.com/blog/my-post/

// 投稿IDを指定してURLを取得
echo get_permalink(123);  // https://example.com/blog/post-123/

// カテゴリ・タグのアーカイブURL
echo get_category_link(5);  // https://example.com/category/php/
echo get_tag_link(10);      // https://example.com/tag/laravel/

// 著者アーカイブURL
echo get_author_posts_url(1);  // https://example.com/author/admin/

// カスタム投稿タイプのアーカイブURL
echo get_post_type_archive_link('product');  // https://example.com/product/

// 方法1: グローバル変数を使う
global $wp;
$currentUrl = home_url(add_query_arg([], $wp->request));

// 方法2: $_SERVER を使う（WordPress推奨ではないが確実）
$currentUrl = (is_ssl() ? 'https' : 'http') . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

// 方法3: add_query_arg() でクエリ付きURLを取得
$currentUrl = home_url(add_query_arg(NULL, NULL));

ポイント：WordPressでは is_ssl() 関数でHTTPS判定ができます。内部的にはリバースプロキシの X-Forwarded-Proto ヘッダーもチェックしてくれるため、$_SERVER['HTTPS'] を直接見るよりも確実です。

// HTML出力時は必ず esc_url() を通す
$url = get_permalink();

// OK: エスケープ済み
echo '<a href="' . esc_url($url) . '">リンク</a>';

// NG: エスケープなし（XSSリスク）
echo '<a href="' . $url . '">リンク</a>';

// リダイレクトの場合は esc_url_raw() を使う
wp_redirect(esc_url_raw($url));

// NG: XSS脆弱性のあるコード
echo '<form action="' . $_SERVER['PHP_SELF'] . '">';

// 攻撃者が以下のURLにアクセスさせると...
// /form.php/"><script>alert(document.cookie)</script>

// 出力されるHTML:
// <form action="/form.php/"><script>alert(document.cookie)</script>">
// → JavaScriptが実行される！

// OK: htmlspecialchars() でエスケープ
echo '<form action="' . htmlspecialchars($_SERVER['PHP_SELF'], ENT_QUOTES, 'UTF-8') . '">';

// OK: SCRIPT_NAME を使う（PATH_INFOを含まないので安全）
echo '<form action="' . htmlspecialchars($_SERVER['SCRIPT_NAME'], ENT_QUOTES, 'UTF-8') . '">';

// OK: WordPressの場合
echo '<form action="' . esc_url($_SERVER['REQUEST_URI']) . '">';

注意：$_SERVER の値をHTML内に出力する場合は、必ず htmlspecialchars()（またはWordPressの esc_url() / esc_attr()）でエスケープしてください。これはURL取得に限らず、PHPセキュリティの基本中の基本です。

// セキュリティ重視: ホワイトリストで検証
$allowedHosts = ['example.com', 'www.example.com'];
$host = $_SERVER['HTTP_HOST'];

if (!in_array($host, $allowedHosts, true)) {
    header('HTTP/1.1 400 Bad Request');
    exit('Invalid host');
}

$url = 'https://' . $host . $_SERVER['REQUEST_URI'];

ベストプラクティス：本番環境では、HTTP_HOST をそのまま信頼するのではなく、ホワイトリスト方式で許可するホスト名を限定しましょう。フレームワーク（Laravel、Symfony等）では、trusted_hosts の設定が組み込まれています。

// ログイン前のURLを保存してリダイレクト
$returnUrl = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http')
    . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];

// ログインページにリダイレクト（戻り先をパラメータに含める）
$loginUrl = '/login.php?redirect=' . urlencode($returnUrl);
header('Location: ' . $loginUrl);
exit;

// --- ログイン処理後 ---
$redirect = filter_input(INPUT_GET, 'redirect', FILTER_VALIDATE_URL);

if ($redirect && parse_url($redirect, PHP_URL_HOST) === $_SERVER['SERVER_NAME']) {
    header('Location: ' . $redirect);
} else {
    header('Location: /');
}
exit;

注意：リダイレクト先URLは必ずバリデーションしましょう。外部サイトへのオープンリダイレクト攻撃を防ぐため、ホスト名が自サイトと一致するかチェックするのがベストプラクティスです。

$currentPage = htmlspecialchars(
    (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http')
    . '://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'],
    ENT_QUOTES,
    'UTF-8'
);
?>

<form method="post" action="/contact.php">
    <input type="hidden" name="source_url" value="<?= $currentPage ?>">
    <!-- 他のフォーム要素 -->
</form>

// クエリ文字列を除いたcanonical URLを生成
$scheme = isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http';
$host = $_SERVER['HTTP_HOST'];
$path = strtok($_SERVER['REQUEST_URI'], '?');

$canonical = $scheme . '://' . $host . $path;

echo '<link rel="canonical" href="' . htmlspecialchars($canonical, ENT_QUOTES, 'UTF-8') . '">';

// WordPress の場合
echo '<link rel="canonical" href="' . esc_url(get_permalink()) . '">';

function buildPaginationUrl(int $page): string
{
    // 現在のクエリパラメータを取得
    $query = $_SERVER['QUERY_STRING'] ?? '';
    parse_str($query, $params);

    // ページ番号を設定
    if ($page <= 1) {
        unset($params['page']);
    } else {
        $params['page'] = $page;
    }

    // パスを取得（クエリ文字列除去）
    $path = strtok($_SERVER['REQUEST_URI'], '?');

    // URLを再構築
    if (empty($params)) {
        return $path;
    }

    return $path . '?' . http_build_query($params);
}

// 使用例
echo buildPaginationUrl(1);  // /articles.php?category=php
echo buildPaginationUrl(2);  // /articles.php?category=php&page=2
echo buildPaginationUrl(5);  // /articles.php?category=php&page=5

function isCurrentPath(string $targetPath): bool
{
    $currentPath = strtok($_SERVER['REQUEST_URI'], '?');
    return rtrim($currentPath, '/') === rtrim($targetPath, '/');
}

function isCurrentPathPrefix(string $prefix): bool
{
    $currentPath = strtok($_SERVER['REQUEST_URI'], '?');
    return strpos($currentPath, $prefix) === 0;
}

// 使用例: ナビゲーションメニュー
?>
<nav>
    <a href="/blog/" class="<?= isCurrentPathPrefix('/blog') ? 'active' : '' ?>">ブログ</a>
    <a href="/about/" class="<?= isCurrentPath('/about') ? 'active' : '' ?>">会社概要</a>
    <a href="/contact/" class="<?= isCurrentPath('/contact') ? 'active' : '' ?>">お問い合わせ</a>
</nav>

// 末尾にスラッシュを付与する（ディレクトリ風URL）
function enforceTrailingSlash(): void
{
    $uri = $_SERVER['REQUEST_URI'];
    $path = strtok($uri, '?');
    $query = $_SERVER['QUERY_STRING'] ?? '';

    // ファイル拡張子がないパスで、末尾スラッシュがない場合
    if ($path !== '/' && !preg_match('/\.[a-zA-Z0-9]+$/', $path) && substr($path, -1) !== '/') {
        $newUrl = $path . '/';
        if ($query !== '') {
            $newUrl .= '?' . $query;
        }
        header('Location: ' . $newUrl, true, 301);
        exit;
    }
}

// REST APIレスポンスにページネーション情報を含める
function buildApiResponse(array $data, int $page, int $totalPages): array
{
    $baseUrl = (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on' ? 'https' : 'http')
        . '://' . $_SERVER['HTTP_HOST']
        . strtok($_SERVER['REQUEST_URI'], '?');

    $links = ['self' => $baseUrl . '?page=' . $page];

    if ($page > 1) {
        $links['prev'] = $baseUrl . '?page=' . ($page - 1);
    }
    if ($page < $totalPages) {
        $links['next'] = $baseUrl . '?page=' . ($page + 1);
    }

    return [
        'data'  => $data,
        'meta'  => ['page' => $page, 'total_pages' => $totalPages],
        'links' => $links,
    ];
}

// 使用例
header('Content-Type: application/json');
echo json_encode(buildApiResponse($items, 2, 10));

{
    "data": [...],
    "meta": { "page": 2, "total_pages": 10 },
    "links": {
        "self": "https://example.com/api/articles?page=2",
        "prev": "https://example.com/api/articles?page=1",
        "next": "https://example.com/api/articles?page=3"
    }
}

この記事のポイント

• $_SERVER['HTTP_HOST'] + $_SERVER['REQUEST_URI'] で現在の完全なURLを組み立てられる
• HTTPS判定は $_SERVER['HTTPS'] だけでなく、リバースプロキシのヘッダーも考慮する
• parse_url() でURLを分解、http_build_query() でクエリを組み立てる
• WordPressでは home_url() / get_permalink() / is_ssl() を使う
• $_SERVER の値はユーザーが改ざん可能なので、出力時は必ずエスケープする
• 実務ではリダイレクト・canonical・ページネーションなどのパターンを押さえておく