PHP跨域问题解决方法详解

• Access-Control-Allow-Origin：指定允许访问的源，可以是具体域名或通配符 *
• Access-Control-Allow-Methods：允许的HTTP方法，如GET、POST、PUT、DELETE等
• Access-Control-Allow-Headers：客户端请求中允许携带的头部字段，如Content-Type、Authorization等
• Access-Control-Allow-Credentials：是否允许携带凭据（如Cookie），设为true时Origin不能为 *

header("Access-Control-Allow-Origin: https://example.com");
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
header("Access-Control-Allow-Headers: Content-Type, Authorization");
header("Access-Control-Allow-Credentials: true");

// 处理预检请求
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
    exit(0);
}

$allowedOrigins = ['https://example.com', 'https://api.another.com'];
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';

if (in_array($origin, $allowedOrigins)) {
    header("Access-Control-Allow-Origin: $origin");
}

function handleResponse(data) {
    console.log(data);
}
// 动态创建script请求
const script = document.createElement('script');
script.src = 'https://yourdomain.com/api.php?callback=handleResponse';
document.body.appendChild(script);

$data = ['status' => 'success', 'message' => 'Hello from server'];

$callback = $_GET['callback'] ?? null;

if ($callback) {
    // 输出JavaScript函数调用
    echo $callback . '(' . json_encode($data) . ');';
} else {
    // 普通JSON输出
    header('Content-Type: application/json');
    echo json_encode($data);
}

• 生产环境避免使用 Access-Control-Allow-Origin: *
• 敏感接口禁用不必要的HTTP方法
• 验证回调函数名合法性，防止XSS攻击（JSONP中）
• 结合Token认证替代Cookie传递身份信息