jsonp助手函数不是json加回调参数那么简单，它会强制覆盖响应类型、拦截输出并调用exit终止执行；默认只读$_GET['callback']，非法或缺失时返回空；ThinkPHP 6.0+需手动注册Jsonp中间件；Nginx缓存需将callback纳入cache_key，前端参数名须与后端指定一致。
thinkphp的json和jsonp助手函数根本不是一回事
直接说结论：jsonp助手函数不是json加个回调参数那么简单，它会强制覆盖响应类型、拦截正常输出流程，并主动终止后续执行。如果你在控制器里写了return jsonp($data)还接着写日志或跳转，那行不通——函数内部已经调用了exit。
常见错误现象：前端收不到回调、响应体是纯JSON而非callback({...})、控制台报Uncaught SyntaxError: Unexpected token。原因基本都是没传callback参数，或前端请求时没带?callback=xxx。
-
jsonp($data)默认只认$_GET['callback']，不读$_POST或请求头 - 如果
$_GET['callback']为空、含非法字符（如点号、斜杠）、长度超32位，函数会直接返回空响应，不报错也不提示 - ThinkPHP 6.0+ 默认禁用
jsonp，需在app/middleware.php里手动注册think\middleware\Jsonp中间件
如何安全地手动构造JSONP响应而不依赖jsonp助手
很多场景下，你其实更需要可控的JSONP逻辑：比如统一回调名、过滤非法字符、兼容非GET请求、或与缓存策略配合。这时候绕过jsonp()函数，自己拼接更稳妥。
核心就三步：设Content-Type为application/javascript、输出合法JS函数调用、结束响应。别漏掉exit或die，否则框架可能追加HTML模板。
立即学习“PHP免费学习笔记（深入）”；
- 先校验
callback是否匹配正则/^[a-zA-Z_][a-zA-Z0-9_]*$/，不通过就返回400 - 用
htmlspecialchars(json_encode($data), ENT_NOQUOTES)防止JSON内引号破坏JS结构 - 完整响应示例：
header('Content-Type: application/javascript; charset=utf-8'); echo $_GET['callback'] . '(' . htmlspecialchars(json_encode($data), ENT_NOQUOTES) . ');'; exit;
jsonp函数在Nginx反向代理下容易被缓存污染
当你的ThinkPHP站点前面挂了Nginx，且配置了proxy_cache，JSONP响应极大概率被当成静态资源缓存——不同用户的callback参数全被塞进同一个缓存key里，导致A用户请求返回B用户的回调名，前端直接报错。
这不是ThinkPHP的问题，是缓存策略没区分URL参数。必须让Nginx把callback纳入缓存key，否则无论后端怎么写都白搭。
- Nginx配置里加
proxy_cache_key "$scheme$request_method$host$request_uri $args";（注意末尾$args） - 或者更精准地只取callback：
proxy_cache_key "$scheme$request_method$host$request_uri$is_args$arg_callback"; - 别信“加了
Vary: Origin就能解决”，JSONP跨域不走CORS，Vary对它无效
前端发起JSONP请求时，callback参数名不能硬编码
ThinkPHP默认只认callback这个键名，但前端用axios或jQuery.ajax发JSONP时，往往默认发callback=xxx，看起来没问题。可一旦后端改成jsonp($data, 'cb')指定了自定义键名，前端就必须同步改——否则后端收不到$_GET['cb']，直接返回空。
这问题常出现在前后端联调初期，后端觉得“我换个名字更安全”，前端却还在用老配置，双方都以为对方有问题。
- 确认键名是否一致：用浏览器开发者工具看Network里实际发出的URL参数
- ThinkPHP里指定键名用
jsonp($data, 'cb')，对应就要确保前端请求带?cb=xxx - 不要在URL里手动拼
?callback=xxx然后又用jsonp($data, 'cb')，参数名对不上就失效
