Управление CORS через PHP: полный разбор заголовка Access-Control-Allow-Origin

Расширенные примеры кода с пояснениями

Пример 1: Динамический список разрешённых доменов с проверкой по регулярному выражению

Иногда требуется разрешить все поддомены определённого домена. Используем регулярное выражение для проверки origin.

<?php
function setCorsOrigin() {
    $allowed_pattern = '/^https?:\/\/([a-z0-9\-]+\.)*example\.com$/i';
    $origin = $_SERVER['HTTP_ORIGIN'] ?? '';

    if (preg_match($allowed_pattern, $origin)) {
        header("Access-Control-Allow-Origin: $origin");
        header('Access-Control-Allow-Credentials: true');
        header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
        header('Access-Control-Allow-Headers: Content-Type, Authorization');
    } else {
        // Если origin не подходит, не отправляем CORS-заголовок (браузер заблокирует запрос)
        // Или можно выдать 403
        http_response_code(403);
        echo 'CORS policy does not allow this origin.';
        exit;
    }
}

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    setCorsOrigin();
    http_response_code(204);
    exit;
}
setCorsOrigin();
// Основной код API
?>

Результат: При запросе с https://sub.example.com заголовок будет установлен для этого конкретного поддомена. Если запрос придёт с https://evil.com, вернётся 403.

Пример 2: Использование нескольких допустимых методов и заголовков в Preflight

Покажем полную обработку сложного запроса с проверкой всех разрешённых параметров.

<?php
// Настройки
$allowed_origins = ['https://app.example.com', 'https://admin.example.com'];
$allowed_methods = ['GET', 'POST', 'PUT', 'DELETE', 'PATCH'];
$allowed_headers = ['Content-Type', 'Authorization', 'X-Requested-With', 'X-Custom-Header'];

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';

function sendCorsHeaders($origin, $methods, $headers) {
    header("Access-Control-Allow-Origin: $origin");
    header('Access-Control-Allow-Credentials: true');
    header("Access-Control-Allow-Methods: " . implode(', ', $methods));
    header("Access-Control-Allow-Headers: " . implode(', ', $headers));
    header('Access-Control-Max-Age: 3600');
}

if (in_array($origin, $allowed_origins)) {
    sendCorsHeaders($origin, $allowed_methods, $allowed_headers);
} else {
    http_response_code(403);
    echo 'Origin not allowed';
    exit;
}

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(204);
    exit;
}

// Дальше идёт основная логика (например, REST API)
echo json_encode(['status' => 'OK']);
?>

Результат: Браузер получит все необходимые CORS-заголовки, preflight будет обработан корректно.

Пример 3: Установка CORS-заголовков для всех файлов в проекте через bootstrap

Чтобы не дублировать код в каждом скрипте, создайте единый файл cors.php и подключайте его в начале публичных скриптов.

// cors.php
<?php
$allowed_domains = ['https://frontend.com', 'http://localhost:8080'];
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';

if (in_array($origin, $allowed_domains)) {
    header("Access-Control-Allow-Origin: $origin");
    header('Access-Control-Allow-Credentials: true');
    header('Access-Control-Allow-Methods: GET, POST, PUT, OPTIONS');
    header('Access-Control-Allow-Headers: Content-Type, Authorization');

    if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
        http_response_code(204);
        exit;
    }
} else {
    // Можно ничего не делать, браузер сам заблокирует
}
?>

// index.php
<?php
require_once 'cors.php';
// ...
?>

Результат: Все запросы к index.php будут проходить CORS-проверку. Если origin совпадает, заголовки добавляются; preflight завершается раньше выполнения основного кода.

Пример 4: Использование заголовка Vary для корректного кэширования

Когда origin динамический, браузеры и прокси могут кэшировать ответы. Чтобы не произошла путаница, полезно добавить заголовок Vary: Origin.

<?php
$origin = $_SERVER['HTTP_ORIGIN'] ?? '*';
header("Access-Control-Allow-Origin: $origin");
header('Vary: Origin');
?>

Результат: Кэш будет учитывать значение заголовка Origin при сохранении ответа, что исключит выдачу ответа одному домену для другого.

Пример 5: Настройка CORS при помощи библиотеки (например, slim/cors)

В крупных проектах удобно использовать готовые пакеты. Пример для фреймворка Slim:

// composer require slim/cors
use Slim\App;
use Slim\Middleware\ErrorMiddleware;
use Slim\Psr7\Response;
use Psr\Http\Message\ServerRequestInterface;

$app = new App();

// Добавляем middleware для CORS
$app->add(function (ServerRequestInterface $request, $handler) {
    $response = $handler->handle($request);
    return $response
        ->withHeader('Access-Control-Allow-Origin', 'https://example.com')
        ->withHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization')
        ->withHeader('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
});

$app->options('/{routes:.*}', function (ServerRequestInterface $request, Response $response) {
    return $response->withStatus(204);
});

$app->get('/hello', function (ServerRequestInterface $request, Response $response) {
    $response->getBody()->write('Hello, CORS!');
    return $response;
});

$app->run();

Результат: Все маршруты получат CORS-заголовки, preflight обрабатывается автоматически.

Пример 6: Обработка ошибки при дублировании заголовков от сервера и PHP

Если .htaccess уже задаёт заголовок, и PHP пытается переопределить его, может возникнуть конфликт. Решение - отключить установку в .htaccess для конкретных файлов или использовать header_remove() в PHP.

<?php
header_remove('Access-Control-Allow-Origin'); // удалить, если был установлен ранее
header('Access-Control-Allow-Origin: https://newdomain.com');
?>

Результат: В ответе будет только один заголовок с нужным значением.