php - 同源策略——JavaScript 调用 PHP

Question

我知道这是一个热门话题，但我还没有找到完全全面的答案。

我正在尝试为我们的“客户”创建一种简单的方法，以便在他们的网站上放置 Google map ，该 map 会在 map 上标出我们客户(或其子集)的位置。客户位于 MySQL 数据库中，该数据库由 PHP 脚本即时转换为 XML(按照 Google 的示例)。这在我的网站上运行良好，但当我在另一个网站上尝试时，xmlHTTPRequest 不允许查看 PHP，因为它在另一个域上。

我可以通过在另一个域上编写另一个 PHP 文件来规避这个问题，该文件只读取原始域上的 PHP 文件。但并非我们所有的客户都会在他们的服务器上运行 PHP。有什么方法可以使用 JavaScript 从我们的数据库返回 XML 结果吗？

几点:

1. 生成 xmlHTTPRequest 的 JavaScript 仍然位于我们的 服务器上——我们的客户端从脚本标签链接到它。我认为这可能就足够了，但“来源”(根据 Chrome，无论如何)仍然被视为域#2

2. 这很棒:如果我在 xmlHTTPRequest 中使用绝对引用(例如 request.open('GET', 'http://mydomain.com/api/foo.php', true))，那么它在 IE 中会失败，但如果我使用相对引用 ('/api/foo.php') 它会起作用。

3. 我不太了解，但我可以使用 JSON 吗？我见过:'script src="http://..../someData.js?callback=some_func"'但不知道如何让“someData.js”看起来像 JSON？ (我在功能方面考虑得很多，这可能是不正确的？)。

4. 我尝试添加: header (“访问控制允许来源:*”)；到输出 XML 的 PHP 的顶部，但它并没有真正做多少我可以告诉!

5. 如果我在客户端的服务器上使用 PHP 包装器，那么使用 cURL 请求而不是简单的 file_get_contents 或 fopen 有什么好处？

抱歉，问题很多，但我们将不胜感激任何指导。

非常感谢，

垫子

Answer 1

解决此问题的一个简单方法是让您的 PHP 脚本返回如下内容:

callback_function(YOUR_DATA);

然后在客户端站点中包含的 JS 脚本中动态插入一个 <script>其中有 src指向您的 PHP 脚本:

(function() {
    var scriptElement   = document.createElement('script');
    scriptElement.type  = 'text/javascript';
    scriptElement.async = true;
    scriptElement.src   = 'http://example.org/yourScript.php?data=...';
    var container       = document.getElementsByTagName('script')[0];
    container.parentNode.insertBefore(scriptElement, container);
})();

此技术称为 JSONP并且应该完全按照您的意愿行事；)

解决该问题的另一种方法是在内容安全策略中允许跨域 XMLHttpRequest。但我认为目前只有 Firefox 4 支持。