PHP实现允许特定域名跨域访问的检测逻辑详解

跨域控制的核心原理

浏览器出于安全考虑，默认禁止网页脚本向不同域名发送请求。服务器通过HTTP响应头告知浏览器哪些外部域名被允许访问。在PHP中，核心任务是识别当前请求的来源域名，判断其是否在“白名单”内，并据此输出正确的Header。

第1步：定义允许访问的域名列表

首先，需要明确哪些域名有权调用你的接口。这通常是一个包含完整协议和域名的数组。

$allowedOrigins = array(
    'http://example.com',
    'https://example2.com'
);

建议将固定协议（http/https）和具体域名硬编码用于测试环境，或在生产环境中从数据库/配置文件动态加载，以便在不修改代码的情况下更新白名单。

第2步：获取并验证请求源域名

PHP通过超级全局变量 $_SERVER['HTTP_ORIGIN'] 获取发起请求的前端域名。接着使用 in_array() 进行精确匹配。

$origin = $_SERVER['HTTP_ORIGIN'];

if (in_array($origin, $allowedOrigins)) {
    // 域名在白名单中，执行放行逻辑
}

如上所示，若匹配成功，说明该请求来自可信来源。此时应设置 Access-Control-Allow-Origin 头部的值为当前请求的 $origin，而非使用通配符 *，这样可以防止无关域名滥用接口。

第3步：设置必要的CORS响应头

对于受信任的请求，除了Allow-Origin外，通常还需要声明支持的HTTP方法和请求头：

header('Access-Control-Allow-Origin: ' . $origin);
header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization');

注意：实际项目中往往需要支持 OPTIONS 方法，因为浏览器在发送非简单请求前会先发一个预检请求（Preflight）。此外，如果涉及Cookie或凭证传输，还需添加 Access-Control-Allow-Credentials: true。

第4步：拒绝非白名单域名的访问

如果请求不在允许列表中，必须阻断访问并给出明确信号，避免信息泄露或非法调用。

} else {
    header('HTTP/1.1 403 Forbidden');
    echo 'Access Forbidden';
    exit;
}

通过返回 403 Forbidden 状态码，前端程序可以捕获异常并进行相应的错误提示或重试逻辑。结合 exit 终止脚本，可确保后续业务代码不会被意外执行。

封装为可复用的检测类

为了便于在不同页面或API模块中复用，可以将上述逻辑封装为一个PHP类：

class CorsChecker {
    private $allowedOrigins;

    public function __construct(array $origins) {
        $this->allowedOrigins = $origins;
    }

    public function check() {
        if (!isset($_SERVER['HTTP_ORIGIN'])) return;
        $origin = $_SERVER['HTTP_ORIGIN'];

        if (in_array($origin, $this->allowedOrigins)) {
            header("Access-Control-Allow-Origin: {$origin}");
            header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
            header('Access-Control-Allow-Headers: Content-Type');
        } else {
            http_response_code(403);
            exit('Access Denied');
        }
    }
}

使用时只需实例化并调用 check() 即可，无需重复编写判断逻辑。

以上就是PHP指定域名跨域处理的详细内容，更多关于PHP实现精准跨域访问控制的资料请关注本站其它相关文章！