PHP如何将表单数据以JSON格式POST到外部api/auth接口并跳转

你当前找到的cURL代码是服务端侧的请求逻辑，直接对接前端表单需要走后端代理流程，不能直接在前端发起第三方认证请求——一方面浏览器跨域策略会拦截非同源Ajax请求，另一方面代码里的Authorization请求头是服务商给你的接口调用凭证，放在前端会直接泄露给所有站点访问者，存在严重安全风险。

整体流程 #

• 前端渲染普通登录表单，收集用户输入的用户名、密码
• 表单将数据提交到你自己站点的后端处理接口
• 后端接收参数后，用cURL组装请求转发给第三方认证接口
• 后端拿到第三方的认证成功响应后，将用户重定向到第三方会员页面

具体代码实现 #

1. 前端登录表单 #

<!-- 表单提交到你自己站点的后端处理路径，不要直接提交到第三方地址 -->
<form action="/auth/login-proxy" method="POST">
  <div>
    <label>用户名</label>
    <input type="email" name="username" required>
  </div>
  <div>
    <label>密码</label>
    <input type="password" name="password" required>
  </div>
  <button type="submit">登录</button>
</form>

2. 后端PHP处理逻辑（对应/auth/login-proxy路径） #

<?php
// 仅接受POST请求
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit("请求方式不允许");
}

// 接收前端提交的登录参数
$username = trim($_POST['username'] ?? '');
$password = trim($_POST['password'] ?? '');
if (empty($username) || empty($password)) {
    exit("请输入完整的用户名和密码");
}

// 转发认证请求到第三方接口
$authUrl = "https://url.com/api/auth";
$curl = curl_init($authUrl);
curl_setopt($curl, CURLOPT_URL, $authUrl);
curl_setopt($curl, CURLOPT_POST, true);
curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
// 如需透传第三方返回的Cookie，打开下面这行配置获取完整响应头
// curl_setopt($curl, CURLOPT_HEADER, true);

$requestHeaders = [
   "Accept: application/json",
   // 该凭证仅保存在后端，禁止传到前端
   "Authorization: Basic cGF1bEB2aXN1YWxpbnRlbnQuY29tLmF1Okp1bXBpbmdKYW5lMjI=",
   "Content-Type: application/json",
];
curl_setopt($curl, CURLOPT_HTTPHEADER, $requestHeaders);

// 组装JSON格式请求载荷
$postPayload = json_encode([
    'username' => $username,
    'password' => $password
]);
curl_setopt($curl, CURLOPT_POSTFIELDS, $postPayload);

// 注意：下面两行关闭SSL校验的配置仅可用于本地调试，生产环境必须删除
// curl_setopt($curl, CURLOPT_SSL_VERIFYHOST, false);
// curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, false);

$response = curl_exec($curl);
$httpStatus = curl_getinfo($curl, CURLINFO_HTTP_CODE);
$requestError = curl_error($curl);
curl_close($curl);

// 处理请求错误
if ($requestError) {
    exit("认证请求失败：" . $requestError);
}

// 认证成功判断：一般接口认证成功返回200状态码，可根据实际返回内容调整判断规则
if ($httpStatus === 200) {
    // 如果第三方需要种Cookie维持登录态，在这里从$response中解析Set-Cookie头，用header()透传给用户浏览器
    // 重定向到第三方会员页
    header("Location: https://url.com/members");
    exit;
} else {
    exit("登录失败，请检查用户名密码是否正确，接口返回：" . $response);
}

注意事项 #

• 代码中的Basic认证串是服务商分配给你的服务端调用凭证，绝对不能写入前端代码，否则会被任意用户盗用接口权限
• 生产环境必须开启SSL证书校验，关闭校验会存在中间人攻击窃取凭证的风险
• 如果跳转后第三方提示未登录，说明第三方的登录Cookie没有正确种到用户浏览器下，需要在cURL请求中提取响应的Set-Cookie头，在重定向前通过后端响应把对应Cookie写到用户浏览器中。

内容的提问来源于stack exchange，提问作者Paul VI