PHP API开发中的最佳跨域策略和实现

PHPz 原创: 2023-06-17 11:22:02 1114浏览

随着RESTful API的兴起，作为后端开发语言的PHP也在众多Web应用中得到了广泛的应用。在开发RESTful API时，往往需要考虑到跨域访问的问题。本文将讨论PHP API开发中最佳的跨域策略及如何实现。

跨域(Cross-Origin Resource Sharing)指的是一个域下的文档或脚本试图去请求另一个域下的资源。在跨域请求时，浏览器会向目标服务器发送一个”OPTIONS”请求，用于表示本次请求的跨域情况，并询问服务器是否允许该跨域请求。因此开发者需要在PHP API中实现响应”OPTIONS”请求，告诉浏览器请求是否被允许。

现在我们来看看PHP API中实现跨域请求的最佳策略：

允许所有请求

这是跨域的最简单实现方式，但不推荐使用。以下代码可以在相应的PHP文件中实现：

header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Methods: OPTIONS, GET, POST, PUT, DELETE');
header('Access-Control-Allow-Headers: Content-Type');

这样可以允许跨域请求所有的HTTP方法。

具体指定跨域请求

我们也可以根据所需的域名，给予特定的跨域访问权限。以下代码可以在相应的PHP文件中实现：

if ($_SERVER['HTTP_ORIGIN'] == "http://adomain.com"){

header('Access-Control-Allow-Origin: http://adomain.com');
header('Access-Control-Allow-Methods: OPTIONS, GET, POST, PUT, DELETE');
header('Access-Control-Allow-Headers: Content-Type');

}

以上代码允许指定的域名（http://adomain.com）跨域请求，其他的域名不允许跨域请求。

发送”OPTIONS”请求后真正的请求

如果请求方方法(http method)是非简单请求时，浏览器会先发出一个”OPTIONS”请求，用于询问服务器是否允许该请求。如果服务器无法响应这个预检请求，请求将终止。为了响应预检请求，API需要在服务器方面实现”OPTIONS”请求，并在响应中返回正确的头部信息，才能让浏览器知道是否允许特定的跨域请求。我们可以使用以下代码来实现：

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS'){

header('Access-Control-Allow-Origin: http://adomain.com');
header('Access-Control-Allow-Methods: OPTIONS, GET, POST, PUT, DELETE');
header('Access-Control-Allow-Headers: Content-Type');
header('Access-Control-Allow-Credentials: true');     // 是否允许共享 Cookie
exit(0);

}