PHP解決跨域請求問題的兩種實用方法詳解

更新時間：2025年10月13日 08:45:33 作者：lskblog

在Web開發(fā)中,跨域資源共享（CORS）是一個常見的問題,當(dāng)前端頁面與后端API不在同一個域名下時,瀏覽器的同源策略會阻止跨域請求,本文將介紹兩種在PHP中解決跨域請求問題的實用方法,需要的朋友可以參考下

引言

在Web開發(fā)中，跨域資源共享（CORS）是一個常見的問題，當(dāng)前端頁面與后端API不在同一個域名下時，瀏覽器的同源策略會阻止跨域請求。本文將介紹兩種在PHP中解決跨域請求問題的實用方法。

什么是跨域問題？

跨域指的是瀏覽器不能執(zhí)行其他網(wǎng)站的腳本，這是由瀏覽器的同源策略造成的，是瀏覽器對JavaScript施加的安全限制。同源策略要求協(xié)議、域名、端口三者都相同，否則即為跨域。

當(dāng)出現(xiàn)跨域問題時，瀏覽器控制臺通常會出現(xiàn)類似以下的錯誤：

Access to XMLHttpRequest at 'http://api.example.com/data' from origin 'http://www.example.com' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

方法一：使用header()函數(shù)設(shè)置CORS頭

這是一種簡單直接的方法，通過設(shè)置響應(yīng)頭來允許跨域訪問。

<?php
// 設(shè)置允許跨域訪問
header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
header('Access-Control-Allow-Headers: X-Requested-With, Content-Type, Accept, Origin, Authorization');

// 如果是OPTIONS請求，直接返回200
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
    http_response_code(200);
    exit();
}

// 你的API邏輯
echo json_encode(['message' => '跨域請求成功']);
?>

代碼解析：

Access-Control-Allow-Origin: *：允許所有域名訪問，* 表示通配符
Access-Control-Allow-Methods：指定允許的HTTP方法
Access-Control-Allow-Headers：指定允許的請求頭
處理預(yù)檢請求（OPTIONS）：瀏覽器在發(fā)送實際請求前可能會先發(fā)送一個OPTIONS請求進行預(yù)檢，這里直接返回200表示允許

優(yōu)缺點：

優(yōu)點：實現(xiàn)簡單，適合開發(fā)環(huán)境快速測試
缺點：允許所有域名訪問存在安全隱患，不推薦在生產(chǎn)環(huán)境使用

方法二：針對特定域名允許跨域

這種方法更加安全，只允許指定的可信域名進行跨域訪問，適合生產(chǎn)環(huán)境使用。

<?php
// 允許指定的域名訪問
$allowed_origins = [
    'http://localhost:3000',
    'https://myapp.com',
    'https://staging.myapp.com'
];

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';

if (in_array($origin, $allowed_origins)) {
    header("Access-Control-Allow-Origin: $origin");
} else {
    // 或者允許所有（不推薦生產(chǎn)環(huán)境）
    // header('Access-Control-Allow-Origin: *');
    
    // 生產(chǎn)環(huán)境建議直接拒絕未授權(quán)域名
    http_response_code(403);
    exit('不允許的跨域請求');
}

header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
header('Access-Control-Allow-Credentials: true');

// 處理預(yù)檢請求
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
    http_response_code(200);
    exit();
}

// API業(yè)務(wù)邏輯
?>

代碼解析：