简介一款黑色简洁的PHP短网址短链接生成源码面向开发者、站长以及需要自建短链服务的个人用户解决依赖第三方短链平台在品牌、统计和广告变现上的限制适合部署在虚拟主机或轻量服务器。压缩包约681KB共103个文件34个php文件承担路由、数据库操作与后端管理逻辑11个js和10个css实现前端交互与界面风格scss和less方便样式二次开发ttf、woff等字体提供图标支持2个sql文件完成数据库初始化另含示例首页与说明文本结构清晰部署门槛低。已有212人学习下载。功能覆盖完整前端支持创建普通及自定义短链接、密码保护、访问统计、暗色主题、浏览器小书签、一键复制与分享后端支持链接管理、网站设置、广告添加与编辑、数据分析并可通过自定义CSS调整外观。整体以黑色系为视觉基调兼顾美观与轻量能够快速搭建一套带广告位的短链系统便于二次开发和商业化运营。1. 把长链接压进二维码和微信跳转这套PHP短网址源码能直接干的事做推广或给客户交付项目时最烦的就是一条链接几十个字符复制粘贴容易断行丢进QQ群还会被自动截断。短网址服务看着简单自建一个却发现坑不少有的源码是纯JS实现刷新一次换一个地址有的依赖外部API哪天第三方一停服全部失效。手上这套黑色简洁的PHP短网址短链接生成源码属于典型的一次部署、永久自持方案——PHP环境装好就能跑MySQL把映射关系一存不依赖任何外部接口。适合独立开发者接外包时快速给甲方搭一个带统计的短链系统也适合运营团队在微信公众号菜单和短信营销里藏短链用。这篇笔记会把路由原理、部署步骤和数据表设计一次讲透照着操作半小时能跑起来。2. 短链的命中逻辑从HTTP跳转到底层数据表2.1 短链系统最核心的文件入口打开源码包里的index.php你会发现整个短链的入口逻辑非常精简。它的工作方式是这样当用户访问https://yourdomain.com/aBc123时URL重写规则把aBc123这个短码捕获并传给index.php脚本拿着短码去数据库查对应的原始长链接查到就返回302跳转查不到就展示一个404页面。我拆过不少短链源码这套的index.php属于比较好上手的。关键来看下代码核心段?php // 引入数据库连接配置 require_once config.php; // 从URL获取短码例如 /abc123 中的 abc123 $short_code $_GET[code] ?? ; // 加入基础安全过滤 $short_code preg_replace(/[^a-zA-Z0-9]/, , $short_code); if ($short_code ! ) { // 准备查询语句使用预处理防SQL注入 $stmt $pdo-prepare(SELECT long_url FROM urls WHERE short_code ? LIMIT 1); $stmt-execute([$short_code]); $row $stmt-fetch(); if ($row) { // 记录访问日志异步方式不阻塞跳转 $log_stmt $pdo-prepare(INSERT INTO click_logs (short_code, referer, ip, click_time) VALUES (?, ?, ?, NOW())); $log_stmt-execute([$short_code, $_SERVER[HTTP_REFERER] ?? , $_SERVER[REMOTE_ADDR] ?? ]); // 执行302临时重定向到真实地址 header(Location: . $row[long_url], true, 302); exit; } } // 无匹配或非法请求转到404页 http_response_code(404); include 404.html;这块逻辑里要重点讲三个参数preg_replace把短码严格限制为大小写字母加数字的组合直接把脏字符全部过滤掉避免有人在短码参数里拼接SQL片段或者XSS攻击载荷。302跳转从SEO角度来说能避免搜索引擎长期缓存某个短码对应的目标地址——当你需要修改链接指向或下架某个推广链接时只需改数据库里的long_url字段而不会出现浏览器缓存旧链接的问题。click_logs表是独立记录的插入采用同步方式但只处理了「查」和「记」两个动作在高并发下数据库会扛压力后面会单独说怎么优化。2.2 数据表设计两张表把链接映射和统计都装下这套源码的数据库结构非常实用核心就两张表urls存短码和长链映射click_logs存每次点击的访问来源和IP。从项目里导出的建表语句如下CREATE TABLE urls ( id int(11) NOT NULL AUTO_INCREMENT, short_code varchar(12) NOT NULL COMMENT 短码唯一索引, long_url text NOT NULL COMMENT 原始长链接, created_at datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, expire_at datetime DEFAULT NULL COMMENT 过期时间NULL为永久有效, PRIMARY KEY (id), UNIQUE KEY idx_short_code (short_code), KEY idx_created_at (created_at) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; CREATE TABLE click_logs ( id bigint(20) NOT NULL AUTO_INCREMENT, short_code varchar(12) NOT NULL, referer varchar(255) DEFAULT NULL COMMENT 来源页面, ip varchar(64) DEFAULT NULL COMMENT 访客IP, click_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), KEY idx_short_code_time (short_code, click_time) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;从实际使用的角度有两点值得展开。一是short_code的字符集——源码默认采用大小写字母混合加数字把类似abc123和Abc123区分开来理论上有62个字符可用两位数短码可容纳3844个链接四位数短码能撑到1470多万对绝大多数业务场景绰绰有余。二是expire_at字段——很多短链系统做完就忘过期链接一直挂在数据库里越积越多这个字段建议默认留着后期做定时清理任务时直接用DELETE FROM urls WHERE expire_at IS NOT NULL AND expire_at NOW()就能把过期链接一次性清掉。2.3 短码生成算法随机且防碰撞的关键写法这套源码的短码生成部分我认为值得单独拆出来讲因为很多自制短链系统翻车就翻在生成算法上。常见的错误做法是直接用substr(md5($url), 0, 6)这样同一个长链接每次生成短码都相同而且MD5截断后的碰撞概率不算低运气差会遇到生成的短码突然跳转到另一个完全不相关的链接。源码采用的方法是「先随机后查重」?php function generateShortCode($length 6) { // 字母数字共62个可用字符 $characters abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789; $charLength strlen($characters) - 1; $code ; for ($i 0; $i $length; $i) { // 使用 random_int 替代 rand避免可预测的随机序列 $code . $characters[random_int(0, $charLength)]; } return $code; } // 插入前查重撞码则重试 function createShortUrl($pdo, $longUrl) { $maxAttempts 5; for ($i 0; $i $maxAttempts; $i) { $code generateShortCode(); $stmt $pdo-prepare(SELECT id FROM urls WHERE short_code ?); $stmt-execute([$code]); if (!$stmt-fetch()) { // 唯一码写入数据库 $insert $pdo-prepare(INSERT INTO urls (short_code, long_url) VALUES (?, ?)); $insert-execute([$code, $longUrl]); return $code; } } // 5次都没撞出唯一短码说明短码快耗尽了 throw new Exception(短码生成失败请扩大短码位数); }这里代码的巧妙之处在于random_int替代rand——前者生成的是密码学级别的安全随机数不可预测。对短链系统来说如果短码可预测别人就能枚举你的短码批量扒走你所有推广链接这在短信营销场景里等于泄露了推广渠道数据。查重逻辑放插入前而不是依赖数据库的唯一索引报错能减少一次多余的异常处理开销。实际部署时如果把短码长度改为8位62的8次方大概是2.18乘以10的14次方基本不可能碰撞。3. 部署与二次开发从Apache伪静态到后台管理3.1 环境要求与伪静态规则Nginx和Apache两种写法这套源码原生跑在Apache环境下.htaccess文件里写好了URL重写规则。但很多部署者用的是LNMP环境Nginx不支持.htaccess需要单独配置。这里给出的配置代码可以直接贴合到Nginx的server块中location / { # 如果请求的路径不是真实存在的文件或目录 if (!-e $request_filename) { # 将请求重写到 index.php并附上 code 参数 rewrite ^/([a-zA-Z0-9])$ /index.php?code$1 last; } } location ~ \.php$ { include fastcgi_params; fastcgi_pass unix:/tmp/php-cgi.sock; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; }从实际调参经验来说Nginx伪静态的if (!-e $request_filename)是核心——它保证只有短码路径被重写/css/style.css这类真实文件仍然正常访问不会误伤静态资源。如果你把短码从6位改成了8位正则里的{6}要同步改成{8}否则多出来的两位会被当作404处理。Apache环境则简单得多源码包里的.htaccess直接可用关键是确保httpd.conf里开启了AllowOverride All。3.2 后台生成与管理批量生成和统计的可视化操作这套源码自带一个轻量后台文件名为admin目录下的index.php默认采用简单的会话认证。后台的核心功能有三个单个长链生成短链、批量导入长链生成短链、查看短链点击统计。批量上传的HTML表单关键部分如下form methodpost actionadmin_batch.php enctypemultipart/form-data div classform-group label批量上传TXT文件每行一个长链接/label input typefile nameurls_file accept.txt classform-control required /div div classform-group label每条链接生成短码长度/label select namecode_length classform-control option value66位默认/option option value88位更安全/option /select /div button typesubmit namesubmit_batch classbtn btn-primary批量生成/button /form服务端处理批量上传时需要注意一行一个链接的解析逻辑。源码的做法是先用file()函数把整个文件读成数组然后用array_filter去掉空行再逐行调用createShortUrl函数。批量生成几千个短链时建议在循环里加上set_time_limit(0)防止PHP执行超时同时每100条执行一次$pdo-commit()——如果拿默认的事务模式一次插入几千条大概率会在500条左右把MySQL连接卡死。这是我在给一个做地推活动的朋友处理数据时踩过的坑后来把批量任务改成分批提交才顺了。点击统计页面用了一个简单的图表插件视觉上能看出每个短链的近7日点击趋势和来源分布。统计逻辑上它读取的是click_logs表里按short_code分组后的计数。如果你需要更细粒度的统计维度比如某个来源渠道的点击量加一条GROUP BY referer就能搞定SQL层面的改动成本很低。3.3 接口封装把生成能力开放给其他系统这个源码还附带一个api.php文件允许通过HTTP请求直接生成短链方便你在其他系统比如ERP或电商后台里集成。接口协议的调用方式很经典POST /api.php?actiongenerate HTTP/1.1 Host: yourdomain.com Content-Type: application/x-www-form-urlencoded api_keyYOUR_API_KEYlong_urlhttps%3A%2F%2Fexample.com%2Fvery%2Flong%2Fpath%2Fhere服务端接收时的校验逻辑如下?php // api.php 中的核心响应逻辑 header(Content-Type: application/json); // 校验API Key是否匹配 if ($_POST[api_key] ! API_KEY) { echo json_encode([code 401, msg invalid api key]); exit; } // 校验长链接格式 $longUrl filter_var($_POST[long_url], FILTER_VALIDATE_URL); if (!$longUrl) { echo json_encode([code 400, msg invalid url format]); exit; } try { $code createShortUrl($pdo, $longUrl); echo json_encode([code 200, short_url https://yourdomain.com/ . $code]); } catch (Exception $e) { echo json_encode([code 500, msg $e-getMessage()]); }这层封装的价值在于你不需要让非技术同事直接登录后台操作只要在工单系统里提供一个输入框让他们把长链接粘贴进去就能自动拿到短链。filter_var配合FILTER_VALIDATE_URL做格式校验从根源上拦截了javascript:alert(1)这类伪协议注入——这一点容易被忽略因为格式错误导致链接生成失败的概率远小于安全漏洞但一旦出问题后果更严重。4. 避坑指南短链部署中遇到的5个高频翻车现场4.1 伪静态配置后访问短链仍然404现象是源码部署完成后直接访问https://yourdomain.com/abc123返回404但访问https://yourdomain.com/index.php?codeabc123却能正常跳转。查根因是两个层面的问题一是 Apache 环境下mod_rewrite模块没启用.htaccess 规则被完全忽略二是 Nginx 环境下没有把短链请求重写到index.php。解决方法是 Apache 用户先执行a2enmod rewrite并重启服务Nginx 用户在server{}块里加上第3.1节那段 rewrite 规则。我见过最隐蔽的坑是Nginx 的 location 块里忘了加last标志导致重写后匹配到其他 location 规则再次被改写循环重定向最终404。这个复盘经验是配置完伪静态后先用curl -I https://yourdomain.com/abc123看返回头如果出现 301/302 跳转才说明路由生效。4.2 生成了短码但点击统计全是0有时候短链跳转正常后台的点击统计却始终显示零数据。根源出在 MySQL 的click_logs表写入失败——很多环境下$_SERVER[REMOTE_ADDR]拿的是反向代理的 IP比如使用了 CDN而且 IPv6 地址长度超过64位会直接截断报错。解决方法是同步做两件事一是把ip字段的 varchar 长度从64改成128兼容 IPv6二是在统计代码里加上$_SERVER[HTTP_X_FORWARDED_FOR] ?? $_SERVER[REMOTE_ADDR]的取数逻辑但前提是 Nginx 的 fastcgi 参数里配了fastcgi_param HTTP_X_FORWARDED_FOR $http_x_forwarded_for。这类问题报错时不会影响用户跳转——因为跳转和统计是两段独立代码丢统计不会响应用户体验因此排查优先级容易被忽略。4.3 短链接被微信拦截提示非官方网页这个坑特别伤脑筋。微信内置浏览器打开短链会弹已停止访问该网页的风险提示。诱因无非两个方向一是目标长链接本身域名被微信标记过比如诱导分享类内容二是短链域名是新注册且没备案的微信的域名安全检测会对此类短链降低信任度。实际处理上走两步排查先用微信检测工具查目标长链接的域名状态如果长链域名安全再用浏览器模拟微信UAMozilla/5.0 (Linux; Android) AppleWebKit/537.36 Chrome/xx Mobile Safari/xx MicroMessenger/xx访问短链查看响应头。另一种思路是采用HTTP 302跳转到长链接同时保证短链域名本身做过ICP备案且页面上挂着备案号——微信风控虽未公开规则但实践下来这两者的信任权重明显更高。4.4 生成了短码但后台页面直接白屏把源码从Windows开发环境搬到Linux服务器后进入后台发现白屏或者500错误。最快的定位方式是先看PHP错误日志多数报错指向config.php里的数据库连接信息不匹配——环境之间的大小写敏感性和MySQL认证方式完全不同。另一个高频翻车点源码里用了PDO::ATTR_EMULATE_PREPARES false在旧版MySQL驱动下会出现SQLSTATE[HY000]: General error的白屏问题。解决方向是降级兼容模式把PDO::ATTR_EMULATE_PREPARES改为true允许数据库驱动模拟预处理同时确认PHP版本至少为7.1。这个配置的取舍在于模拟预处理能兼容老驱动但实际防注入的效果会弱一档因此不能因为能跑就永久保留false我一般会建议改用MySQL 5.7以上的原生预处理支持性能和安全能兼得。4.5 短码包含0和O时用户在电话里读不清纯运营场景的坑。短信推广时用户通过语音听链接短码里的0和O发音几乎相同1和l也容易混淆导致用户复制错误转化率明显下滑。这不是技术Bug纯粹是字符集设计时没考虑人工传播场景。解决办法是改generateShortCode函数里的$characters去掉0O1lI这几个易混淆字符只用剩余字符生成短码。改完之后注意老数据里已有的短码不受影响新短码从重写函数后才会生效。对于强依赖语音或线下口播的推广渠道建议直接一开始就使用无混淆字符集哪怕短码长度增加1位也值得。5. 进阶玩法短链防滥用、定时清理与自定义跳转逻辑项目跑起来之后摆在面前的两个长期问题是如何防止别人恶意刷你的短链接口如何让短链系统在长期运行中不积累垃圾数据这两件事做扎实了短链系统才真正经得起生产环境的考验。关于防滥用源码默认只做了API Key校验但生产环境中API Key一旦泄露就是个敞开的门。我通常会加一道IP频率限制逻辑核心思路是把访问者的IP写进Redis/MySQL里计数超过阈值就拒绝服务。用MySQL实现的话最朴素的写法是CREATE TABLE rate_limit ( ip varchar(64) NOT NULL, minute_bucket varchar(20) NOT NULL, request_count int(11) NOT NULL DEFAULT 0, PRIMARY KEY (ip, minute_bucket) );然后在api.php的入口处加上计数判断每分钟同一个IP最多生成50个短链超过直接返回429状态码。这个口径和第三方短链服务的免费额度差不多一个量级对正常业务来说完全够用。实现需要注意需要定期清理旧的计数记录不然这张表会只增不减建议每小时跑一次DELETE FROM rate_limit WHERE minute_bucket DATE_FORMAT(NOW() - INTERVAL 1 HOUR, %Y%m%d%H%i)。关于定时清理前面提到的expire_at字段在这里就能发挥作用。写一个cron/cleanup.php脚本逻辑很简单查过期链接 → 删除短码记录 → 删除对应的点击日志。设置一个定时任务每天凌晨4点执行# crontab 配置示例 0 4 * * * cd /path/to/project php cron/cleanup.php logs/cleanup.log 21清理脚本最需要注意的是执行顺序先删click_logs再删urls因为click_logs里存着外键指向短码乱删会让统计日志变成孤儿数据。如果哪天你想恢复某条被删的短链数据务必备份好表——预清理前执行一行mysqldump urls click_logs backup_$(date %F).sql是给自己留后悔药。最后想分享一个我调得比较多的自定义跳转逻辑。源码默认是302跳转到长链接但实际有些推广场景需要跳转前先展示一个中间页比如展示App下载引导或提示用户复制链接到浏览器打开。改造方案是在index.php的跳转分支里加一个判断如果long_url的域名命中某个黑名单比如itunes.apple.com的App Store链接就先加载redirect_confirm.html展示引导页点击按钮后通过JavaScript才真正跳转。代码改动很小但对流量承接的作用很明显——直接302会让微信内置浏览器丢掉很多用户中间页能让转化路径多一环自主选择。从那以后我每次给客户交付短链系统项目验收清单里都强制包含三件事伪静态重写规则的回归测试、点击统计的IP字段查一次日志确认能取到真值、手动删一条过期链接确认清理任务不报错。这套流程救过我很多次也省去了很多不必要的返工。短链系统看着小等真跑起来才发现每个细节都是坑提前把防护和清理做好后面运维能轻松一半。希望这份拆解能帮到你动手部署时少走几趟弯路。本文还有配套的精品资源点击获取