PHP里的转网页面跳转，说白了就一个函数：`header('Location: url')`。页代但就这玩意儿，转网坑多到能让人怀疑人生。页代我见过太多新手在本地测试时，转网明明写了这句，页代页面却纹丝不动，转网然后对着屏幕发呆半小时。页代

问题多半出在输出上。转网`header()`必须在任何HTML、页代空格、转网甚至BOM头输出之前调用。页代你哪怕在文件顶部多敲了一个回车，转网那个空行就已经算输出了，页代`header()`直接报错。转网PHP的报错信息有时候还不显示，就给你个白屏。真正排查起来，你得把文件从头到尾撸一遍，看看有没有哪个PHP标签外面多了个看不见的字符。

另一个常见场景：跳转前要带参数。有人直接拼接字符串，`header('Location: /user.php?id='.$id)`，看着没毛病，但要是`$id`来自用户输入，没做过滤，那你的页面就成跳板了。攻击者可以塞个`%0d%0a`进去，强行注入额外的HTTP头。所以正经写法是先用`urlencode()`把参数编码，再拼进去。这活儿看着琐碎，实际能挡掉绝大多数低级的头注入攻击。

再说说延迟跳转。PHP里没有内置的`sleep`+`header`组合拳，因为HTTP协议里有个`Refresh`头，可以做到几秒后跳转：`header('Refresh: 5; url=/next.php')`。这玩意儿比`meta refresh`靠谱，因为它是服务端控制的，客户端禁用JS也没影响。但注意，这个头在部分老版本IE里支持得不好，所以实际项目中，很多人宁愿用JS的`setTimeout`加`window.location`，也不碰这个。

还有个细节，跳转后的`exit`或`die`必须写。不写的话，PHP脚本会继续往下执行，万一后面还有输出，或者逻辑上继续操作了数据库，那跳转就白跳了。我见过一个真实案例：用户登录成功后跳转到首页，但因为忘了写`exit`，后面的代码又把用户状态改回了未登录，结果人刚跳过去就被踢出来，循环往复，用户体验直接崩了。

最后提一嘴，用框架的人可能觉得这些都不是事儿，因为Laravel的`redirect()`方法封装得干干净净。但你真去扒开源码看，底层干的还是`header()`那点事。理解原理，遇到框架外的裸PHP项目时，你才不会慌。

写代码这事儿，越是基础的东西越容易翻车。跳转看似简单，但每一次跳转都意味着一次HTTP请求的终结和开始，背后是状态、安全、用户体验的权衡。下次写跳转时，多想想：头信息发了吗？参数编码了吗？脚本停了吗？这三个问题问完，基本就稳了。