php禁止跨域调用api（来自文心快码）

在PHP中，禁止跨域调用API通常涉及到设置正确的HTTP响应头，以告知浏览器不允许来自不同源的请求。跨域资源共享（CORS）是一个W3C标准，它允许服务器放宽同源策略（SOP），从而允许某些跨站请求。要禁止跨域调用，你需要配置服务器以拒绝这些请求。

以下是一些在PHP中禁止跨域调用的方法：

1.使用.htaccess文件（适用于Apache服务器）‌：

如果你使用的是Apache服务器，可以通过在网站的根目录或相关子目录中放置一个.htaccess文件来禁止跨域请求。添加以下内容到.htaccess文件中：

Header set Access-Control-Allow-Origin "*"
Header unset Access-Control-Allow-Origin

注意：上面的设置实际上有些矛盾，因为首先它设置了允许所有源的请求，然后又试图取消这个设置。但某些服务器配置可能需要对Access-Control-Allow-Origin进行显式地取消设置。更常见且有效的方式是直接拒绝所有跨域请求，如下所示：

Header always set Access-Control-Allow-Origin "null"
Header always append Access-Control-Allow-Methods "POST, GET, OPTIONS, DELETE"
Header always append Access-Control-Allow-Headers "x-requested-with, Content-Type"

# 拒绝所有实际的跨域请求（非null源）
RewriteEngine On
RewriteCond %{HTTP_ORIGIN} !^$
RewriteCond %{HTTP_ORIGIN} !^http(s)?://(localhost|yourdomain\.com)$ [NC]
RewriteRule ^(.*)$ - [R=403,L]

上面的配置将拒绝所有非来自localhost或yourdomain.com的跨域请求。

2.在PHP脚本中设置响应头‌：

在你的PHP脚本的开始部分，你可以使用header()函数来设置CORS相关的HTTP响应头。例如：

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    // 预检请求；拒绝所有跨域请求
    header("Access-Control-Allow-Origin: null");
    header("HTTP/1.1 403 Forbidden");
    exit;
}

// 对于实际请求，也拒绝跨域
header("Access-Control-Allow-Origin: null");
header("Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE");
header("Access-Control-Allow-Headers: x-requested-with, Content-Type");

// 你的PHP代码逻辑...

然而，这种方法通常不如服务器配置（如.htaccess）有效，因为浏览器可能会在执行PHP代码之前就已经因为CORS策略而阻止了请求。

3.使用Web服务器配置‌：

除了.htaccess文件外，你还可以直接在Apache或Nginx等Web服务器的配置文件中设置CORS策略。这种方法通常更灵活且性能更好。

4.考虑安全性‌：

禁止跨域调用API可以增强应用的安全性，但请确保你的方法不会意外地阻止合法的跨域请求（例如，如果你的应用依赖于第三方服务或插件）。此外，始终使用HTTPS来加密客户端和服务器之间的通信，以防止中间人攻击。