讲座主题：用Swoole搞定跨域资源共享（CORS），让浏览器安全策略不再难搞！

各位开发者朋友们，大家好！今天咱们来聊聊一个让人又爱又恨的话题——跨域资源共享（CORS）。如果你曾经因为跨域问题而熬夜掉头发，那么今天的讲座一定会让你受益匪浅。我们将使用强大的PHP扩展——Swoole，来优雅地解决这个问题。

---

一、开场白：为什么我们需要CORS？

在现代Web开发中，跨域请求是一个绕不开的话题。简单来说，当你的前端应用试图从一个域名向另一个域名发起请求时，浏览器会出于安全考虑，默认阻止这种行为。这就是所谓的“同源策略”（Same-Origin Policy）。

举个例子：

请求来源	请求目标	是否允许
http://example.com	http://example.com	允许
http://example.com	https://example.com	不允许
http://example.com	http://api.example.com	不允许

浏览器的这种行为虽然保护了用户的安全，但对开发者来说却是个麻烦。于是，W3C提出了CORS标准，允许服务器明确告诉浏览器哪些跨域请求是可以接受的。

---

二、Swoole是什么？为什么选它？

Swoole是一个高性能的PHP扩展，支持异步IO、协程和事件驱动编程。它的强大之处在于可以直接处理HTTP请求，并且可以轻松实现CORS支持。

相比传统的PHP-FPM模式，Swoole在处理大量并发请求时表现得更加出色。更重要的是，它提供了原生的HTTP Server功能，让我们可以直接控制HTTP响应头，从而实现CORS的支持。

---

三、动手实践：用Swoole实现CORS

1. 安装Swoole

首先，确保你的环境中已经安装了Swoole。可以通过以下命令检查是否安装成功：

php --ri swoole

如果没有安装，可以通过PECL进行安装：

pecl install swoole

2. 创建一个简单的HTTP Server

我们先创建一个基本的Swoole HTTP Server，用于接收请求并返回数据。

<?php

$http = new SwooleHttpServer("0.0.0.0", 9501);

$http->on("request", function ($request, $response) {
    $response->header("Content-Type", "application/json");
    $response->end(json_encode(['message' => 'Hello, World!']));
});

$http->start();

运行这段代码后，你可以在浏览器中访问 http://127.0.0.1:9501，看到返回的JSON数据。

3. 添加CORS支持

接下来，我们为这个Server添加CORS支持。CORS的核心思想是通过设置特定的HTTP响应头来告诉浏览器哪些跨域请求是被允许的。

以下是关键的CORS头部字段及其含义：

响应头	含义
Access-Control-Allow-Origin	指定允许访问的源（*表示所有源）
Access-Control-Allow-Methods	指定允许的HTTP方法
Access-Control-Allow-Headers	指定允许的自定义请求头
Access-Control-Allow-Credentials	是否允许发送Cookie等认证信息
Access-Control-Max-Age	预检请求结果的有效期

现在，我们修改代码以支持CORS：

<?php

$http = new SwooleHttpServer("0.0.0.0", 9501);

$http->on("request", function ($request, $response) {
    // 设置CORS头部
    $response->header("Access-Control-Allow-Origin", "*");
    $response->header("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
    $response->header("Access-Control-Allow-Headers", "Content-Type, Authorization");

    // 处理预检请求
    if ($request->server['request_method'] === 'OPTIONS') {
        $response->status(204); // 返回无内容状态码
        $response->end();
        return;
    }

    // 正常响应
    $response->header("Content-Type", "application/json");
    $response->end(json_encode(['message' => 'Hello, World!']));
});

$http->start();

4. 测试CORS支持

为了验证我们的CORS配置是否生效，可以从另一个域名发起请求。例如，使用JavaScript的fetch函数：

fetch('http://127.0.0.1:9501', {
    method: 'GET',
    headers: {
        'Content-Type': 'application/json'
    }
})
.then(response => response.json())
.then(data => console.log(data))
.catch(error => console.error('Error:', error));

如果一切正常，你应该能在浏览器控制台中看到返回的数据。

---

四、深入探讨：CORS的最佳实践

1. *避免滥用`** 虽然Access-Control-Allow-Origin: *`看起来很方便，但它意味着任何人都可以访问你的API。如果你的应用需要更高的安全性，建议指定具体的域名。

2. 处理凭据
   如果你需要在跨域请求中传递Cookie或Session信息，记得将Access-Control-Allow-Credentials设置为true，同时Access-Control-Allow-Origin不能为*。

3. 预检请求的缓存
   对于复杂的跨域请求（如带有自定义头部的POST请求），浏览器会先发起一次预检请求（OPTIONS）。你可以通过设置Access-Control-Max-Age来减少重复的预检请求。

---

五、总结

今天我们学习了如何使用Swoole来实现跨域资源共享（CORS）。通过直接控制HTTP响应头，我们可以灵活地应对各种跨域场景。希望这篇文章能帮助你更好地理解CORS的工作原理，并掌握Swoole的使用技巧。

最后，引用一句国外技术文档中的经典语录：“CORS is not a bug, it’s a feature!”（CORS不是Bug，而是一个特性！）

感谢大家的聆听，下次再见！