jsonp 是一种利用 <script> 标签实现跨域请求的技术，其核心在于服务端返回 javascript 脚本调用前端指定的回调函数并传递数据。1. 前端请求需携带 callback 参数；2. 服务端接收该参数并包裹在 json 数据外输出；3. 需设置响应头为 application/javascript；4. 存在安全性问题且仅支持 get 请求。相较之下，cors 更安全且支持多种 http 方法，只需后端配置响应头即可。若无法控制接口，可使用 jsonp，否则建议优先采用 cors 或框架内置的 cors 支持。
在前后端分离的开发场景中，跨域问题是一个常见的挑战。JSONP（JSON with Padding）是一种解决跨域请求的老办法，虽然现在更推荐使用 CORS，但在某些老旧系统或需要兼容旧浏览器的情况下，JSONP 依然有它的用武之地。PHP 操作 JSONP 的关键在于理解其原理并正确输出格式。
JSONP 是什么？
JSONP 的核心是利用 <script> 标签不受同源策略限制的特点，通过动态创建 script 元素来实现跨域数据获取。服务端需要返回一段 JavaScript 脚本，而不是单纯的 JSON 数据。这个脚本会调用客户端指定的回调函数，并将数据作为参数传入。
比如，前端请求时可能带一个 callback 参数：
立即学习“PHP免费学习笔记（深入）”；
http://api.example.com/data.php?callback=handleData
服务端就需要返回类似这样的内容：
handleData({"name": "Tom", "age": 25});这样浏览器就会执行这段代码，从而完成数据传递。
PHP 如何输出 JSONP 响应？
操作 JSONP 的关键是接收客户端传来的 callback 参数，并将其包裹在响应的 JSON 数据外面。
示例代码如下：
<?php
$data = array('name' => 'Tom', 'age' => 25);
$callback = $_GET['callback'] ?? 'callback';
header('Content-Type: application/javascript');
echo $callback . '(' . json_encode($data) . ');';这段代码做了几件事：
- 准备好要返回的数据；
- 从 GET 请求中获取
callback函数名； - 设置响应头为 JavaScript 类型；
- 输出符合 JSONP 格式的字符串。
需要注意：确保 callback 参数是合法的函数名，避免注入攻击。可以加一些白名单或正则校验，比如只允许字母数字和下划线。
JSONP 的局限性与替代方案
JSONP 只支持 GET 请求，不能发送 POST 或其他类型请求，安全性也较差，容易受到 XSS 攻击。因此，在现代项目中，更推荐使用 CORS（跨域资源共享） 来处理跨域问题。
CORS 是浏览器原生支持的一种机制，只需要后端在响应头中添加一些字段即可，例如：
header("Access-Control-Allow-Origin: *");
header("Content-Type: application/json");
echo json_encode($data);这样前端就可以正常发起 AJAX 请求了，包括 POST、PUT 等方法，而且更加安全可控。
实际开发中的建议
如果你控制不了对方服务器，只能用 JSONP，那就按上面的方法处理；如果可以沟通接口形式，优先推动使用 CORS。
另外，有些框架（如 Laravel、ThinkPHP）已经内置了 CORS 支持，或者可以通过中间件轻松配置，不建议再依赖 JSONP。
最后提醒一点：无论用哪种方式，都要注意设置合适的响应头，确保数据格式和浏览器识别一致。
基本上就这些。
