Практические решения для обработки кликов по URL на PHP

Расширенные примеры и пояснения

1. Комплексный трекер с фильтрацией и геолокацией

Используем базу данных (SQLite), определяем страну по IP (через сторонний API) и блокируем нежелательные домены.

<?php
$allowedDomains = ['example.com', 'mysite.org'];
$url = $_GET['url'] ?? '';
$parsed = parse_url($url);
$host = $parsed['host'] ?? '';

if (!in_array($host, $allowedDomains)) {
    header('HTTP/1.1 403 Forbidden');
    exit('Domain not allowed');
}

// Получение страны (через http://ip-api.com/json/)
$ip = $_SERVER['REMOTE_ADDR'];
$geo = json_decode(file_get_contents("http://ip-api.com/json/{$ip}"));
$country = $geo->country ?? 'Unknown';

// Запись в SQLite
$db = new SQLite3('clicks.db');
$stmt = $db->prepare('INSERT INTO clicks (url, ip, country, clicked_at) VALUES (:url, :ip, :country, datetime("now"))');
$stmt->bindValue(':url', $url, SQLITE3_TEXT);
$stmt->bindValue(':ip', $ip, SQLITE3_TEXT);
$stmt->bindValue(':country', $country, SQLITE3_TEXT);
$stmt->execute();

header('Location: ' . $url, true, 302);
?>

Результат: при переходе по /track.php?url=https://example.com выполняется проверка домена, запрос к API геолокации (может замедлить редирект), запись в SQLite, затем редирект. Если домен не разрешён - ошибка 403.

2. Асинхронная отправка через navigator.sendBeacon (без потери данных при закрытии страницы)

// JavaScript (вставляется на все страницы)
document.addEventListener('click', function(e) {
    var target = e.target.closest('a');
    if (target && target.href) {
        e.preventDefault();
        var data = new FormData();
        data.append('url', target.href);
        data.append('page', window.location.href);
        navigator.sendBeacon('/beacon.php', data);
        window.location.href = target.href;
    }
});

// beacon.php (PHP)
<?php
$url = $_POST['url'] ?? '';
$page = $_POST['page'] ?? '';
$line = date('Y-m-d H:i:s') . " | $url | $page | " . $_SERVER['REMOTE_ADDR'] . "\n";
file_put_contents('beacon.log', $line, FILE_APPEND);
http_response_code(204); // No Content
?>

Результат: при клике на любую ссылку данные отправляются асинхронно через sendBeacon (гарантированная доставка даже при закрытии вкладки), затем происходит навигация. В лог записывается время, целевой URL, страница, с которой произошёл клик, и IP.

3. Использование очереди Redis для высоконагруженных проектов

Вместо записи непосредственно в базу данных, PHP-скрипт помещает задачу в очередь Redis, а отдельный worker асинхронно обрабатывает и сохраняет в MySQL.

// track.php (ставит задачу)
$redis = new Redis();
$redis->connect('127.0.0.1', 6379);
$job = json_encode([
    'url' => $_GET['url'],
    'ip' => $_SERVER['REMOTE_ADDR'],
    'time' => time()
]);
$redis->lPush('click_queue', $job);
header('Location: ' . $_GET['url']);

// worker.php (запускается как демон)
while (true) {
    $job = $redis->brPop('click_queue', 5);
    if ($job) {
        $data = json_decode($job[1], true);
        // сохраняем в MySQL
        $stmt = $pdo->prepare('INSERT INTO clicks (url, ip, clicked_at) VALUES (?, ?, FROM_UNIXTIME(?))');
        $stmt->execute([$data['url'], $data['ip'], $data['time']]);
    }
}

Результат: скрипт-перенаправитель почти мгновенно возвращает редирект, а запись в БД выполняется асинхронно, что снижает нагрузку на PHP-FPM и предотвращает задержки.

4. Динамическая генерация ссылок с подписью (HMAC) для предотвращения подмены

// Генерация ссылки на стороне шаблона:
$secret = 'my_secret_key';
$targetUrl = 'https://partner.com/offer';
$expires = time() + 3600; // 1 час
$signature = hash_hmac('sha256', $targetUrl . $expires, $secret);
$trackLink = '/go?url=' . urlencode($targetUrl) . '&exp=' . $expires . '&sig=' . $signature;

// track.php - проверка подписи
$url = $_GET['url'] ?? '';
$expires = (int)($_GET['exp'] ?? 0);
$sig = $_GET['sig'] ?? '';

$expectedSig = hash_hmac('sha256', $url . $expires, $secret);
if (!hash_equals($expectedSig, $sig) || time() > $expires) {
    header('HTTP/1.1 403 Forbidden');
    exit('Invalid or expired link');
}

// Логирование и редирект

Результат: только ссылки, сгенерированные на сервере с правильным секретом, будут работать. Срок действия ограничен, подделать подпись злоумышленнику практически невозможно.