ThinkPHP怎么处理JSONP回调_ThinkPHP跨域老式方案兼容【说明】-ThinkPHP-PHP中文网

thinkphp 的 jsonp() 方法需满足合法 get 请求、callback 参数存在等条件，否则易返回空白或500；其本质是响应构造器，不自动终止执行流程，且受中间件、响应头、非法回调名等影响。

thinkphp怎么处理jsonp回调_thinkphp跨域老式方案兼容【说明】

ThinkPHP 直接用 jsonp() 就能处理 JSONP 请求，但前提是前端发的是合法 GET 请求、带 callback 参数，且后端没被中间件或响应头拦截。

这不是框架 bug，而是 JSONP 本身机制和 ThinkPHP 执行链耦合导致的典型失效场景：

jsonp() 是一个“响应构造器”，它不自动终止流程 —— 如果你后面还写了 return json($data) 或输出了其他内容，就会报错或乱码
它只响应 GET 请求，且严格依赖 input('get.callback') 存在；若参数名不是 callback（比如叫 cb 或 jsoncallback），默认不识别
如果项目启用了全局 CORS 中间件（如 Cors.php），而该中间件对 OPTIONS 预检放行但没处理 GET 的 Content-Type，JSONP 响应头可能被覆盖成 application/json，浏览器拒绝执行
TP5.1+ 默认关闭了 display_errors，回调函数名含非法字符（如点号、括号）时，jsonp() 内部会静默失败，返回空响应

别只靠 return jsonp($data) 一招鲜，要主动控制输入校验、输出类型和错误兜底：

javascript-pro

专注现代 ECMAScript、异步编程、性能优化和全栈的 JavaScript 专家，适用于现代开发

下载

显式获取并清洗 callback：$cb = preg_replace('/[^a-zA-Z0-9_]/', '', input('get.callback'));，空则直接 abort(400, 'Missing callback')
手动构造响应更可控：header('Content-Type: application/javascript; charset=utf-8'); 必须加，否则部分浏览器不执行
数据先 json_encode($data, JSON_UNESCAPED_UNICODE)，再拼接：echo $cb . '(' . $json . ');';，最后 exit; 强制终止
如果业务需支持自定义回调参数名（如 uni-app 传 callback，老 jQuery 传 jsoncallback），建议统一收口：$cb = input('get.callback') ?: input('get.jsoncallback');

只要你的前后端都可控，且不需要支持 IE8 及更老浏览器，就该立刻停用 JSONP：

JSONP 只能 GET，无法传 token 在 header，也无法发 POST/PUT/DELETE —— 所有登录态、文件上传、表单提交类接口天然不兼容
服务端无法获知请求真实来源（Origin 头被 script 标签抹掉），没法做白名单校验，存在 CSRF 和 XSS 风险
错误全靠客户端 JS try/catch，服务端日志里看不到 JSONP 请求失败原因；而 CORS 失败会在浏览器 Network 面板明确标出是预检失败、header 不匹配还是证书问题
ThinkPHP 6+ 的中间件体系对 CORS 支持极好，一行 header('Access-Control-Allow-Origin: http://your-fe-domain.com'); + 允许 credentials 就能搞定大部分场景

JSONP 不是“过时技术”，而是“受限协议”——它只在你完全无法控制对方域名、又必须用 script 标签加载数据时才成立。一旦你发现要给它加 token、加 POST、加错误重试、加类型校验，说明你已经在用脚投票否定它了。