如何使用Golang处理JSONP请求_使用Callback生成动态JavaScript

Go语言不直接支持JSONP，需手动拼接回调函数与JSON数据并设Content-Type为text/javascript，关键要校验callback参数防XSS，用正则白名单确保仅含字母、数字、下划线和点号，匹配失败返回400错误。

Go语言本身不直接支持JSONP，因为JSONP是前端绕过同源策略的“伪跨域”方案，本质是动态生成一段JavaScript代码，把JSON数据包裹在回调函数里返回。后端只需按约定拼接字符串即可，无需额外库。

理解JSONP响应格式

JSONP请求通常带一个 callback 查询参数，例如：

/api/data?callback=handleResponse

服务端需返回类似这样的响应体（Content-Type: text/javascript）：

立即学习“Java免费学习笔记（深入）”；

handleResponse({"name": "Alice", "age": 30});

注意末尾的分号和括号，这是合法JS语句必需的。

基础实现：手动拼接回调

使用标准 net/http 即可，关键点有三个：校验 callback 参数、设置正确 Content-Type、安全转义 JSON 数据。

动态WEB网站中的PHP和MySQL：直观的QuickPro指南第2版

动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包

525

查看详情

• 用 url.QueryEscape 或正则限制 callback 名称，防止 XSS（如只允许字母、数字、下划线、点号）
• 用 json.Marshal 序列化数据，避免手动拼 JSON 字符串出错
• 响应头设为 text/javascript，而非 application/json

安全处理 callback 参数

不要直接信任用户传入的 callback 值。推荐用白名单或正则校验：

validCallback := regexp.MustCompile(`^[a-zA-Z_$][a-zA-Z0-9_$]*$`).MatchString(callback)

若不匹配，可返回 400 错误，或降级为普通 JSON（不带 callback）并提示客户端检查参数。

完整示例代码

以下是一个最小可用 handler：

func jsonpHandler(w http.ResponseWriter, r *http.Request) {
  callback := r.URL.Query().Get("callback")
  if callback == "" {
    http.Error(w, "missing callback", http.StatusBadRequest)
    return
  }
  if !regexp.MustCompile(`^[a-zA-Z_$][a-zA-Z0-9_$]*$`).MatchString(callback) {
    http.Error(w, "invalid callback name", http.StatusBadRequest)
    return
  }
  data := map[string]interface{}{"message": "Hello from Go!", "status": "ok"}
  jsonBytes, _ := json.Marshal(data)
  w.Header().Set("Content-Type", "text/javascript; charset=utf-8")
  fmt.Fprintf(w, "%s(%s);", callback, jsonBytes)
}

注册路由：http.HandleFunc("/api", jsonpHandler)

基本上就这些。JSONP虽已逐渐被 CORS 取代，但在兼容老系统或特定嵌入场景中仍有实用价值，实现起来也不复杂但容易忽略安全细节。

以上就是如何使用Golang处理JSONP请求_使用Callback生成动态JavaScript的详细内容，更多请关注php中文网其它相关文章！