如何使用PHP webapp与运行在localhost的API进行交互？

该需求完全合理，属于B/S架构下调用用户本地服务的典型场景，要求不暴露用户设备到公网、无额外软件安装的优先级设置也符合安全和易用性的常规要求。

你之前测试失败不是公网拦截导致，核心是请求发起主体逻辑错误：你部署在公网服务器的PHP后端执行curl请求localhost时，请求是从公网服务器自身发起的，访问的是服务器本地的127.0.0.1，自然无法访问到用户设备上运行的第三方桌面API。

最优方案：前端直接发起本地请求（无额外配置优先选） #

• 核心逻辑：请求完全从用户本地浏览器发起，不经过公网服务器转发，天然不会暴露用户设备到公网，也不需要额外安装软件
• 操作步骤：
  1. 确认第三方桌面软件的本地API支持CORS配置，将你的webapp域名加入API的跨域允许白名单
  2. 废弃PHP后端发起curl的逻辑，改为前端通过fetch或XMLHttpRequest直接请求http://localhost:第三方API占用端口/对应接口路径，拿到返回结果后按需传给后端即可
  3. 如果你的webapp是HTTPS站点，部分浏览器会默认拦截HTTPS页面发起的HTTP本地请求，可要求第三方桌面软件配置自签证书支持HTTPS本地访问，或给用户提供对应浏览器的本地安全规则调整指引

备选方案：WebSocket 中转适配（API不支持CORS时选） #

如果第三方桌面API无法修改CORS配置，可采用该方案，同样不需要额外安装软件、不会暴露用户设备到公网：

• 核心逻辑：用户打开webapp时，前端和公网后端建立WebSocket长连接，后端需要调用本地API时，将请求参数通过WebSocket推送给前端，由前端发起本地localhost请求，拿到结果后再通过WebSocket回传给后端
• 注意点：该方案仅把请求参数和结果做中转，公网后端始终不会主动连接用户设备，不存在暴露风险

不要尝试让用户配置端口映射将本地API端口暴露到公网，该操作会带来极大的设备入侵风险，完全不符合你的安全要求。

内容的提问来源于stack exchange，提问作者David