PHP通过AJAX及Access-Control-Allow-Origin实现跨域访问

　　这里的跨域实质上是由浏览器同源策略限制的一类请求场景，浏览器同源策略SOP（Same origin policy）是一种约定，由Netscape公司1995年引入浏览器，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，浏览器很容易受到XSS、CSFR等攻击。所谓同源是指”协议+域名+端口“三者相同，即便两个不同的域名指向同一个ip地址，也非同源。这里测试下通过Access-Control-Allow-Origin实现不同域名之间的访问，Access-Control-Allow-Origin 响应头指定了该响应的资源是否被允许与给定的orgin共享。

　　语法：

　　Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: <origin>

　　*
　　对于不需具备凭证（credentials）的请求，服务器会以“*”作为通配符，从而允许所有域都具有访问资源的权限。
　　<origin>
　　指定一个可以访问资源的URI。

　　这里使用四个域名，分别是：本机localhost、shop.com、blog.com、oa.com，在localhost、shop.com、blog.com上都创建一个test.html，在oa.com上创建ajax.php文件。

　　test.html代码如下：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>ajax跨域</title>
</head>
<body>
    <!-- 创建一个按钮并绑定单击事件 -->
    <input type="button" value="走你" onclick="show()">
    <!-- 创建一个空ul -->
    <ul></ul>
    <script type="text/javascript">
        function show() {
            // 创建xhr对象
            var xhr = new XMLHttpRequest();
            // 监听请求状态
            xhr.onreadystatechange = function() {
                if (this.readyState == 4) {
                    // 当请求状态变为4时获取响应内容并放入ul
                    document.getElementsByTagName('ul')[0].innerHTML = this.responseText;
                }
            }
            // 以get方式请求ajax.php
            xhr.open('get', 'http://oa.com/ajax.php', true);
            // 发送请求
            xhr.send(null);
        }
    </script>
</body>
</html>

1、允许单个域名访问

ajax.php代码如下：

// 允许单个域名localhost访问
header('Access-Control-Allow-Origin: http://localhost');
echo '<h1>这是oa.com上的响应</h1>';
foreach ($_SERVER as $key => $value) {
    echo '<li>',$key,'=>',$value,'</li><br>';
}

通过loclhost的test.html访问如下：

通过shop.com、blog.com访问如下：

2、允许多个域名访问

　　ajax.php代码如下：

//获取要跨域访问的请求源
$origin = isset($_SERVER['HTTP_ORIGIN'])? $_SERVER['HTTP_ORIGIN'] : '';
//定义允许跨域访问的请求源
$allow_origin = array('http://localhost', 'http://shop.com');
//如果请求源在允许列表中就设置允许访问
if (in_array($origin, $allow_origin)) {
    header('Access-Control-Allow-Origin:' . $origin);
}
echo '<h1>这是oa.com上的响应</h1>';
foreach ($_SERVER as $key => $value) {
    echo '<li>',$key,'=>',$value,'</li><br>';
}

PS：$_SERVER[‘HTTP_ORIGIN’] 字段只有跨域访问时都会存在

通过loclhost的test.html访问如下：

通过shop.com的test.html访问如下：

通过blog.com的test.html访问如下：

因为blog.com不在被允许访问的数组中，所以仍然不能访问，此处通过定义数组单元实现多个域名的跨域访问。

2、允许所有域名访问

ajax.php代码如下：

//通过通配符*允许所有域名访问
header('Access-Control-Allow-Origin: *');
echo '<h1>这是oa.com上的响应</h1>';
foreach ($_SERVER as $key => $value) {
    echo '<li>',$key,'=>',$value,'</li><br>';
}

通过localhost的test.html访问如下：