解决 PHP 后端接口跨域访问被拒绝问题（CORS 配置指南）-html教程-PHP中文网

本文详解如何在 PHP 服务端正确配置 CORS 响应头，使前端 JavaScript 能安全、合法地跨域调用 Login.php 等 API 接口，彻底解决 “No 'Access-Control-Allow-Origin' header is present” 报错。

本文详解如何在 php 服务端正确配置 cors 响应头，使前端 javascript 能安全、合法地跨域调用 `login.php` 等 api 接口，彻底解决 “no 'access-control-allow-origin' header is present” 报错。

当浏览器前端（如运行在 http://127.0.0.1:5500 的 index.html）通过 XMLHttpRequest 或 fetch 请求远程 PHP 接口（例如 http://cop4331-5.com/LAMPAPI/Login.php）时，若服务端未声明跨域许可策略，浏览器将依据同源策略（Same-Origin Policy）主动拦截响应——这正是你遇到的典型 CORS 错误：

Access to XMLHttpRequest at 'http://cop4331-5.com/LAMPAPI/Login.php' 
from origin 'http://127.0.0.1:5500' has been blocked by CORS policy: 
Response to preflight request doesn't pass access control check: 
No 'Access-Control-Allow-Origin' header is present...

该错误根源不在前端代码或代理工具，而在于 PHP 后端未返回必需的 CORS 响应头。因此，不推荐依赖 CORS 代理（如本地启 proxy server）作为长期方案——它增加部署复杂度、引入单点故障，且无法解决预检请求（preflight）失败等深层问题。

✅ 正确解法：在 PHP 文件（如 Login.php）顶部添加标准 CORS 头，确保每次响应均携带合规的跨域声明。以下是推荐的最小可行配置：

<?php // Login.php 开头立即设置 CORS 响应头（必须在任何输出之前）
header("Access-Control-Allow-Origin: http://127.0.0.1:5500"); // ✅ 允许指定前端源（开发环境）
// header("Access-Control-Allow-Origin: *"); // ⚠️ 仅限测试，生产环境禁止使用通配符（尤其含凭证时）

header("Access-Control-Allow-Methods: POST, OPTIONS"); // 明确允许请求方法
header("Access-Control-Allow-Headers: Content-Type, Authorization"); // 允许客户端发送的请求头
header("Access-Control-Allow-Credentials: true"); // 若需携带 Cookie/认证信息，此项必须为 true

// 处理预检请求（OPTIONS）
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(200);
    exit;
}

// 后续正常业务逻辑（如接收 JSON、验证登录等）
$rawInput = file_get_contents('php://input');
$data = json_decode($rawInput, true);

// ... 登录验证逻辑
$response = ['id' => 123, 'firstName' => 'John', 'lastName' => 'Doe'];
echo json_encode($response);
?>

? 关键注意事项：

顺序至关重要：header() 调用必须在任何 echo、print 或 HTML 输出之前执行，否则会触发 “headers already sent” 错误；
开发 vs 生产：
- 开发阶段可临时设为 http://127.0.0.1:5500（VS Code Live Server 默认端口）；
- 生产环境务必替换为真实前端域名（如 https://your-app.com），*严禁使用 `配合Access-Control-Allow-Credentials: true`**（浏览器会拒绝）；
凭证支持：若前端需携带 Cookie（如 withCredentials: true），后端必须同时设置 Access-Control-Allow-Credentials: true 且 Access-Control-Allow-Origin 不能为 *；
预检请求处理：对于 Content-Type: application/json 的 POST 请求，浏览器会先发 OPTIONS 预检。上述代码已包含简洁的预检响应逻辑，确保流程畅通。

? 进阶建议：

将 CORS 配置提取为独立函数或中间件（如使用 Slim、Laravel 等框架时），实现统一管理；

结合 Nginx/Apache 在 Web 服务器层全局添加 CORS 头（适用于多 PHP 文件场景），例如 Nginx 配置片段：

location ~ \.php$ {
    add_header 'Access-Control-Allow-Origin' 'http://127.0.0.1:5500';
    add_header 'Access-Control-Allow-Methods' 'POST, OPTIONS';
    add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization';
    add_header 'Access-Control-Allow-Credentials' 'true';
    # ... 其他 fastcgi 配置
}

完成配置后，刷新前端页面并重试登录——XMLHttpRequest 将成功接收响应，不再被浏览器拦截。记住：CORS 是浏览器施加的安全机制，其控制权始终在服务端；让 PHP 主动声明“我允许谁来访问”，才是健壮、可维护的解决方案。