PHP接收前端时间戳需先验判断毫秒/秒单位，用正则校验格式，显式转换并范围检查，再以new DateTime('@'.$ts)安全构造，统一约定秒级UTC可避免多数问题。
PHP 接收前端传的时间戳，本质就是接收一个整数（或字符串形式的数字），关键不在“怎么收”，而在“怎么判、怎么转、怎么防错”。前端传 timestamp 时常见格式混乱、时区错位、精度不一致，直接 date() 或 DateTime 构造极易出错。
前端传的时间戳到底是毫秒还是秒？必须先验检查
JavaScript 的 Date.now() 返回毫秒级时间戳，而 PHP 的 time() 和大多数函数（如 strtotime()、DateTime::__construct()）只接受秒级。若直接把 JS 时间戳丢给 date('Y-m-d', $ts)，结果会是公元 50000+ 年。
- 强制转换前先做长度判断：
strlen((string)$ts) === 13→ 很可能是毫秒；=== 10→ 更可能是秒 - 更稳妥的做法是除法校验：
$ts = (int) round($ts / 1000);（仅当确认是毫秒时才除） - 不要依赖
is_numeric()：它会放过"1623456789000abc"这类脏数据 - 推荐用正则粗筛：
preg_match('/^\d{10,13}$/', $ts)，再结合长度决定是否除 1000
$_GET['ts'] 或 $_POST['ts'] 拿到的是字符串，别直接当整数用
PHP 的超全局变量中所有值默认是字符串，哪怕前端传 ts=1712345678，$_GET['ts'] 仍是字符串类型。某些函数（如 DateTime::createFromFormat('U', $ts)）能自动 cast，但 date('Y-m-d', $_GET['ts']) 在严格模式下会触发 warning，且可能因隐式转换失败返回 false。
- 显式转换优先：
$ts = (int) $_GET['ts']; - 加范围校验（防溢出或非法值）：
if ($ts 2147483647) { /* 拒绝 */ }（注意：PHP 32 位系统time_t上限是 2147483647） - 用
filter_var()更安全：$ts = filter_var($_GET['ts'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 0, 'max_range' => 2147483647]]);
用 DateTime 处理时间戳比 date() 更健壮，但构造方式有坑
date() 简单，但无法指定时区上下文；DateTime 支持时区、支持格式化、支持运算，但构造方式选错就白忙活。
立即学习“PHP免费学习笔记（深入）”；
- ✅ 正确（显式声明 Unix 时间戳）：
new DateTime('@' . $ts)—— 注意@前缀，这是告诉构造器“这是秒级时间戳” - ❌ 错误（当成日期字符串）：
new DateTime($ts)
—— 会尝试解析成 “1712345678” 这个日期，报错或返回意外结果 - ⚠️ 注意时区：
new DateTime('@' . $ts)默认使用服务器时区，若需 UTC 结果，应：$dt = new DateTime('@' . $ts); $dt->setTimezone(new DateTimeZone('UTC')); - 若需毫秒级精度（如记录日志），PHP 原生不支持毫秒时间戳构造，得用
DateTime::createFromFormat('U.u', floor($ms/1000) . '.' . sprintf('%06d', $ms % 1000))，但多数业务场景秒级足够
API 接口里统一约定时间戳单位和时区，比写一堆兼容逻辑更有效
与其在每个接口里反复判断毫秒/秒、反复 setTimeZone，不如在文档和规范层面定死：「所有时间戳字段均为秒级，时区为 UTC」。后端收到后直接 (int)$input['ts'] + new DateTime('@' . $ts) 即可，无歧义。
- 前端 Axios/Fetch 发请求时，可封装统一处理：
params: { ts: Math.floor(Date.now() / 1000) } - 后端入口（如 API 中间件）加一层标准化过滤：
if (isset($data['start_time'])) { $data['start_time'] = validate_timestamp($data['start_time']); } - 数据库存储建议统一用
INT UNSIGNED存秒级时间戳（兼容性好、排序快），而非DATETIME（时区转换易出错）
最常被忽略的不是“怎么转”，而是“谁负责校验”。前端传错、中间代理截断、Nginx 重写规则吃掉参数……时间戳一错，后续所有格式化、比较、存储全崩。务必在最外层做类型+范围+单位三重校验，别信任何上游。
