PHP跨域请求处理全攻略 CORS与JSONP在PHP中的实现方法与安全考量

<script>

<?php
// 1. 设置允许的源 (Origin)
// 我个人倾向于指定明确的域名，而不是使用通配符 '*'
// 因为 '*' 意味着任何网站都可以访问你的资源，这通常不是你想要的。
$allowedOrigin = 'https://your-frontend-domain.com'; // 替换为你的前端域名
if (isset($_SERVER['HTTP_ORIGIN']) && $_SERVER['HTTP_ORIGIN'] === $allowedOrigin) {
    header("Access-Control-Allow-Origin: " . $allowedOrigin);
} else {
    // 如果不是允许的源，可以不设置CORS头，或者直接返回错误
    // 实际生产中，可能需要更复杂的逻辑，比如白名单数组
    // header("HTTP/1.1 403 Forbidden");
    // exit();
}


// 2. 处理预检请求 (Preflight Request)
// 浏览器在发送复杂请求（如POST、PUT、DELETE或自定义Header）前，会先发送一个OPTIONS请求。
// 你的服务器需要对这个请求做出正确响应。
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header("Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS"); // 允许的HTTP方法
    header("Access-Control-Allow-Headers: Content-Type, Authorization"); // 允许的自定义请求头
    header("Access-Control-Max-Age: 86400"); // 预检请求结果的缓存时间，单位秒 (24小时)
    header("Content-Length: 0"); // OPTIONS请求通常不需要返回实际内容
    header("Content-Type: text/plain");
    exit(); // 预检请求处理完毕，直接退出
}

// 3. 允许携带凭证 (Credentials)
// 如果你的前端需要发送Cookie或HTTP认证信息，这个头是必须的。
// 注意：如果设置了 Access-Control-Allow-Credentials: true，那么 Access-Control-Allow-Origin 就不能是 '*'
header("Access-Control-Allow-Credentials: true");

// 4. 后续的PHP业务逻辑
// ... 你的API处理代码 ...
echo json_encode(['message' => 'Hello from PHP API!']);
?>

<script>

<?php
// 1. 获取回调函数名
$callback = isset($_GET['callback']) ? $_GET['callback'] : 'callback';

// 2. 验证回调函数名（非常重要，防止XSS攻击）
// 确保回调函数名只包含字母、数字和下划线，避免恶意代码注入
if (!preg_match('/^[a-zA-Z0-9_]+$/', $callback)) {
    header("HTTP/1.1 400 Bad Request");
    echo "Invalid callback function name.";
    exit();
}

// 3. 准备要返回的数据
$data = [
    'status' => 'success',
    'message' => 'Data from JSONP endpoint.',
    'timestamp' => time()
];

// 4. 将数据包裹在回调函数中返回
header('Content-Type: application/javascript'); // 设置响应头为JavaScript
echo $callback . '(' . json_encode($data) . ');';
exit();
?>

header()

Access-Control-Allow-Methods

Access-Control-Allow-Headers

Access-Control-Allow-Origin

*

Origin

Origin

Access-Control-Allow-Origin

<?php
// 最佳实践：动态白名单验证
$allowedOrigins = [
    'https://your-frontend-domain.com',
    'https://another-allowed-domain.net',
    // ...更多允许的域名
];

$origin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : '';

if (in_array($origin, $allowedOrigins)) {
    header("Access-Control-Allow-Origin: " . $origin);
} else {
    // 如果不在白名单内，直接终止，不设置CORS头，浏览器会报错
    // 也可以返回一个特定的HTTP状态码，如403 Forbidden
    // header("HTTP/1.1 403 Forbidden");
    // exit();
}

// 预检请求处理 (同上，但可以根据实际需求调整允许的方法和头)
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header("Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS");
    header("Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With"); // 示例：增加X-Requested-With
    header("Access-Control-Max-Age: 86400");
    header("Content-Length: 0");
    header("Content-Type: text/plain");
    exit();
}

// 允许携带凭证，但要非常谨慎
header("Access-Control-Allow-Credentials: true");

// ... 业务逻辑 ...
?>

Access-Control-Allow-Credentials

true

true

Access-Control-Allow-Origin

*

<script>

<script>

src

callback=myHandler

myHandler({"data": "some value"})

myHandler

<?php
// JSONP实现原理：
// 1. 客户端发送请求，URL中包含callback参数，如: /api/jsonp?callback=myCallback
// 2. 服务器端PHP获取callback参数
$callback = isset($_GET['callback']) ? $_GET['callback'] : '';

// 3. 准备数据
$data = [
    'id' => 123,
    'name' => 'JSONP Example',
    'status' => 'active'
];

// 4. 将数据包裹在回调函数中
// header('Content-Type: application/javascript'); // 或者 application/json
// echo $callback . '(' . json_encode($data) . ');';
// exit();
?>

callback

callback

callback=<script>alert(document.cookie)</script>

callback

callback

<?php
// JSONP安全规避：严格验证回调函数名
$callback = isset($_GET['callback']) ? $_GET['callback'] : '';

// 重要的安全检查：确保回调函数名是合法的JavaScript标识符
// 避免任何非字母数字下划线的字符，防止XSS注入
if (!preg_match('/^[a-zA-Z_$][a-zA-Z0-9_$]*$/', $callback)) {
    // 如果不符合规则，直接拒绝请求或使用一个默认的安全回调名
    header("HTTP/1.1 400 Bad Request");
    echo "Invalid callback function name.";
    exit();
}

// 准备数据
$data = [
    'id' => 456,
    'name' => 'Secure JSONP',
    'message' => 'Data is secure.'
];

// 返回JSONP响应
header('Content-Type: application/javascript');
echo $callback . '(' . json_encode($data) . ');';
exit();
?>

<script>

Access-Control-Allow-Origin

Access-Control-Allow-Origin: *