PHP跨域请求处理_PHP CORS头设置与JSONP实现方法-php教程-PHP中文网

PHP跨域请求处理_PHP CORS头设置与JSONP实现方法

雪夜

发布： 2025-10-21 22:54:02

原创

292人浏览过

答案：跨域请求可通过CORS或JSONP解决。CORS通过设置Access-Control-Allow-Origin等响应头实现，支持多种HTTP方法和自定义头部，推荐用于现代项目；若需允许多个域名，应动态校验Origin并返回对应头信息。JSONP利用script标签不受同源限制的特性，仅支持GET请求，后端需将数据包裹在回调函数中返回，适用于只读场景但安全性较低。生产环境应避免使用通配符*，限制允许的源、方法和头部，并验证回调函数名防止XSS攻击，敏感接口应结合Token认证以提升安全性。

php跨域请求处理_php cors头设置与jsonp实现方法

跨域请求在前后端分离开发中非常常见。当浏览器发起的请求协议、域名或端口不一致时，就会触发同源策略限制。PHP作为后端服务，可以通过设置CORS头或使用JSONP方式解决跨域问题。下面介绍两种方法的具体实现。

CORS头设置（推荐现代项目使用）

跨域资源共享（CORS）是W3C标准，通过在服务器响应头中添加特定字段，允许浏览器接受来自不同源的请求。

基本CORS头设置：

Access-Control-Allow-Origin：指定允许访问的源，可以是具体域名或通配符 *
Access-Control-Allow-Methods：允许的HTTP方法，如GET、POST、PUT、DELETE等
Access-Control-Allow-Headers：客户端请求中允许携带的头部字段，如Content-Type、Authorization等
Access-Control-Allow-Credentials：是否允许携带凭据（如Cookie），设为true时Origin不能为 *

示例代码：

立即学习“PHP免费学习笔记（深入）”；

header("Access-Control-Allow-Origin: https://example.com");
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
header("Access-Control-Allow-Headers: Content-Type, Authorization");
header("Access-Control-Allow-Credentials: true");

// 处理预检请求
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
    exit(0);
}

登录后复制

若需支持多个域名，不能直接使用 *，应根据请求中的 Origin 动态判断：

$allowedOrigins = ['https://example.com', 'https://api.another.com'];
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';

if (in_array($origin, $allowedOrigins)) {
    header("Access-Control-Allow-Origin: $origin");
}

登录后复制

JSONP实现跨域（适用于只读GET请求）

JSONP利用script标签不受同源策略限制的特性，通过动态创建script标签请求数据。只支持GET方法，安全性较低，适合老项目兼容。

奇域

奇域是一个专注于中式美学的国风AI绘画创作平台

查看详情

前端调用示例：

function handleResponse(data) {
    console.log(data);
}
// 动态创建script请求
const script = document.createElement('script');
script.src = 'https://yourdomain.com/api.php?callback=handleResponse';
document.body.appendChild(script);

登录后复制

PHP后端响应处理：

$data = ['status' => 'success', 'message' => 'Hello from server'];

$callback = $_GET['callback'] ?? null;

if ($callback) {
    // 输出JavaScript函数调用
    echo $callback . '(' . json_encode($data) . ');';
} else {
    // 普通JSON输出
    header('Content-Type: application/json');
    echo json_encode($data);
}

登录后复制

注意：JSONP无法处理错误状态码，也不支持设置请求头或发送复杂数据，仅适用于简单场景。

安全建议

跨域设置需谨慎，避免开放过多权限。

生产环境避免使用 Access-Control-Allow-Origin: *
敏感接口禁用不必要的HTTP方法
验证回调函数名合法性，防止XSS攻击（JSONP中）
结合Token认证替代Cookie传递身份信息

基本上就这些。CORS是目前主流方案，JSONP可用于兼容老旧系统。根据实际需求选择合适方式即可。

以上就是PHP跨域请求处理_PHP CORS头设置与JSONP实现方法的详细内容，更多请关注php中文网其它相关文章！