CORS与JSONP怎么选?跨域方案对比详解
时间:2026-05-07 17:11:36 323浏览 收藏
本文深入剖析了JSONP与CORS两大跨域解决方案的本质差异与实战陷阱:JSONP本质是利用script标签绕过同源策略的“兼容性补丁”,仅支持GET、无法处理POST/表单/文件、易遭XSS攻击、被现代CSP策略拦截,且在PHP中根本无法接收$_POST数据;而CORS是浏览器原生支持的标准机制,需PHP精准配置Access-Control-Allow-Origin、Headers、Credentials等响应头,并警惕代理层和CDN对头信息的干扰。文章明确指出——除非强制兼容IE8,否则应果断放弃JSONP,统一采用规范、安全、可扩展的CORS方案,尤其在Vue/React项目和前后端分离架构中,强行封装JSONP适配器只会带来高昂的维护成本和技术债务。

JSONP在PHP里根本没法处理POST请求
JSONP只是个“骗浏览器”的技巧,靠动态插入标签加载远程JS,所以它天然只支持GET。你哪怕在PHP里写了$_POST接收逻辑,前端用JSONP发过去,实际发的还是GET请求,$_POST永远为空。
- 想传表单数据、文件、长参数?JSONP直接歇菜
- PHP后端用
header('Content-Type: application/javascript')返回带回调函数的JS,这是唯一能走通的路 - 现代浏览器对
标签的CSP策略越来越严,某些配置下JSONP会直接被拦截,连错误都不报
PHP设置CORS头必须覆盖所有必要字段
光写Access-Control-Allow-Origin: *只够应付最简单GET请求。一旦前端发了带Authorization头的请求,或用了Content-Type: application/json,PHP就得同步放开Access-Control-Allow-Headers和Access-Control-Allow-Credentials,否则预检(OPTIONS)一定失败。
Access-Control-Allow-Origin设为*时,Access-Control-Allow-Credentials必须为false,否则浏览器拒绝响应- 要带cookie登录态,得把
Access-Control-Allow-Origin改成具体域名(如https://myapp.com),不能用* - PHP里建议在入口统一加头,而不是每个接口单独判断;漏加一个
Access-Control-Max-Age,每次请求前都得跑一次OPTIONS
PHP里JSONP容易被XSS利用,CORS则依赖浏览器校验
JSONP的回调函数名来自用户输入(比如URL里的callback=alert),如果PHP没过滤就直接拼进响应体,等于把执行权交给了攻击者。而CORS机制完全由浏览器控制,PHP只要按规范返回头,浏览器自己决定放不放行——前提是你的域名、协议、端口确实匹配。
- JSONP必须手动校验
$_GET['callback'],只允许字母数字和下划线,拒绝callback=alert(1)这种 - CORS头若写错(比如
Access-Control-Allow-Origin多了一个空格),Chrome开发者工具Network面板里看不到任何提示,只会显示“CORS error”——得翻Console里的完整错误信息才能定位 - 本地开发时用
file://协议打开HTML,CORS会被强制禁用,JSONP反而能跑通,但这不是解决方案,是掩耳盗铃
现代项目别硬套JSONP,除非真要兼容IE8
IE8/9连XMLHttpRequest跨域都不支持,只能靠XDomainRequest或JSONP。但2024年还在维护需要IE8兼容的PHP后台,基本意味着整个技术栈已冻结。这时候还选JSONP,等于主动放弃fetch、AbortController、streaming响应等所有现代能力。
- Vue/React项目默认用
fetch,它根本不认JSONP;强行封装一层“JSONP适配器”,后期维护成本远高于初期改CORS - 如果PHP接口同时被Web和App调用,App通常走原生HTTP库,压根不解析JSONP格式,只认标准JSON+状态码
- 真正卡住的往往不是PHP配置,而是Nginx/Apache反向代理层没透传CORS头,或者CDN缓存了带CORS头的响应导致污染
终于介绍完啦!小伙伴们,这篇关于《CORS与JSONP怎么选?跨域方案对比详解》的介绍应该让你收获多多了吧!欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识,快来关注吧!
-
501 收藏
-
501 收藏
-
501 收藏
-
501 收藏
-
501 收藏
-
121 收藏
-
239 收藏
-
462 收藏
-
479 收藏
-
106 收藏
-
501 收藏
-
275 收藏
-
268 收藏
-
323 收藏
-
141 收藏
-
419 收藏
-
300 收藏
-
- 前端进阶之JavaScript设计模式
- 设计模式是开发人员在软件开发过程中面临一般问题时的解决方案,代表了最佳的实践。本课程的主打内容包括JS常见设计模式以及具体应用场景,打造一站式知识长龙服务,适合有JS基础的同学学习。
- 立即学习 543次学习
-
- GO语言核心编程课程
- 本课程采用真实案例,全面具体可落地,从理论到实践,一步一步将GO核心编程技术、编程思想、底层实现融会贯通,使学习者贴近时代脉搏,做IT互联网时代的弄潮儿。
- 立即学习 516次学习
-
- 简单聊聊mysql8与网络通信
- 如有问题加微信:Le-studyg;在课程中,我们将首先介绍MySQL8的新特性,包括性能优化、安全增强、新数据类型等,帮助学生快速熟悉MySQL8的最新功能。接着,我们将深入解析MySQL的网络通信机制,包括协议、连接管理、数据传输等,让
- 立即学习 500次学习
-
- JavaScript正则表达式基础与实战
- 在任何一门编程语言中,正则表达式,都是一项重要的知识,它提供了高效的字符串匹配与捕获机制,可以极大的简化程序设计。
- 立即学习 487次学习
-
- 从零制作响应式网站—Grid布局
- 本系列教程将展示从零制作一个假想的网络科技公司官网,分为导航,轮播,关于我们,成功案例,服务流程,团队介绍,数据部分,公司动态,底部信息等内容区块。网站整体采用CSSGrid布局,支持响应式,有流畅过渡和展现动画。
- 立即学习 485次学习