PHP 跨域资源共享 CORS 设定

Posted 2021-02-10 Share112

CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。

它允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。

详细介绍见： http://www.ruanyifeng.com/blog/2016/04/cors.html

nginx端：

  　location / {
       ...　
　　  add_header ‘Access-Control-Allow-Origin‘ *;
  　　add_header ‘Access-Control-Allow-Methods‘ ‘GET, POST, OPTIONS‘;
  　　add_header ‘Access-Control-Allow-Headers‘ ‘Content-Type,Content-Length,Accept-Encoding,X-Requested-with, Origin,Range‘;
  　　add_header ‘Access-Control-Expose-Headers‘ ‘Content-Length,Content-Range‘;
       ...

　　}

或者 在 php代码中设定 （php代码中设置了， nginx就不要配置了， 二选一）：

<?php

header(‘Access-Control-Allow-Origin:*‘);  // 设为星号，表示同意任意跨源请求。也可配置特定的域名可访问 如:  https://www.xxxx.com
header(‘Access-Control-Allow-Methods:OPTIONS,POST,GET‘); // 允许请求的类型
header(‘Access-Control-Allow-Headers:Content-Type,Content-Length,Accept-Encoding,X-Requested-with, Origin‘);
header(‘Access-Control-Expose-Headers:Content-Length,Content-Range‘);

　

服务重启后， 至此 web端可直接 javascript 访问该站点的资源， ajax 亦可。

 

 

特别说明：
     非同源的请求，会额外产生一次 "预检"的请求 请求方法 ： OPTIONS

OPTIONS /cors HTTP/1.1
Origin: http://api.bob.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: X-Custom-Header
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...

　　

"预检"请求用的请求方法是OPTIONS，表示这个请求是用来询问的。头信息里面，关键字段是Origin，表示请求来自哪个源。

除了Origin字段，"预检"请求的头信息包括两个特殊字段。

（1）Access-Control-Request-Method

该字段是必须的，用来列出浏览器的CORS请求会用到哪些HTTP方法，上例是PUT。

（2）Access-Control-Request-Headers

该字段是一个逗号分隔的字符串，指定浏览器CORS请求会额外发送的头信息字段，上例是X-Custom-Header。

服务器收到"预检"请求以后，检查了Origin、Access-Control-Request-Method和Access-Control-Request-Headers字段以后，确认允许跨源请求，就可以做出回应。

 

这个环节，由浏览器控制，用户无感知。