跨域重定向能否成功取决于浏览器策略和响应头，而非PHP版本；必须用header('Location:')并exit终止，且目标域需自行配置CORS头，重定向不传递Cookie或认证凭据。
PHP 8.1 本身不改变重定向的 HTTP 机制，跨域名跳转（即从 a.com 重定向到 b.com）能否成功，**完全取决于浏览器策略和响应头控制，而非 PHP 版本**。但 PHP 8.1 的语法特性和安全增强，能帮你写出更可靠、更不易出错的重定向逻辑。
必须用 Location 响应头，不能靠前端跳转
服务端重定向必须使用 header('Location: https://other-domain.com/') 并配合 exit 或 die 终止后续输出。仅靠 JavaScript（如 window.location.href）跳转属于客户端行为，无法绕过浏览器的同源限制，也无法传递 Cookie 或认证上下文。
- 务必在任何输出（包括空格、BOM、
echo）之前调用header()，否则会报“headers already sent”错误 - 推荐写法：
header('Location: https://example.com/login', true, 302); exit;—— 显式指定状态码，避免默认 302 被误判为 301 缓存
跨域跳转不传递 Cookie 和认证凭据
从 https://a.com 重定向到 https://b.com 时，浏览器**不会自动携带 a.com 的 Cookie、localStorage 或 Authorization 头**。这是由同源策略强制保障的安全行为。
- 若需传递用户身份，必须显式设计凭证交换机制：例如在跳转 URL 中附带短期有效的 token（如 JWT），由目标域验证后建立本地会话
- 禁止在 URL 中传递明文密码、session_id 或敏感字段；token 应设短过期（如 5 分钟）、一次性使用、绑定 IP 或 User-Agent
注意 HTTPS 与协议一致性
PHP 8.1 环境下常见线上事故：开发时用 http://localhost 测试正常，上线后因强制 HTTPS 导致重定向失败或循环跳转。
立即学习“PHP免费学习笔记（深入）”；
- 不要硬编码
http://，统一用https://或动态判断：$_SERVER['HTTPS'] ?? 'off' === 'on' ? 'https' : 'http' - 检查 Web 服务器（Nginx/Apache）是否已正确终止 SSL，并将
$_SERVER['HTTPS']或$_SERVER['HTTP_X_FORWARDED_PROTO']设置准确 - 避免混合协议跳转（如从 HTTPS 页跳到 HTTP 目标），现代浏览器会直接拦截或降级警告
防范开放重定向漏洞
若重定向地址来自用户输入（如 ?redirect_to=...），未校验可能被用于钓鱼攻击——这是 PHP 8.1 项目中高频安全风险点。
- 禁止直接拼接用户参数：
header('Location: ' . $_GET['url']);❌ - 应白名单校验域名：
$allowed_hosts = ['example.com', 'app.example.com']; $host = parse_url($_GET['url'], PHP_URL_HOST) ?: ''; if (in_array($host, $allowed_hosts)) { header("Location: {$_GET['url']}"); } - PHP 8.1 可用枚举定义合法跳转目标，避免字符串拼错：
enum RedirectTarget: string { case Dashboard = 'https://app.example.com/dashboard'; case Profile = 'https://user.example.com/profile'; }
