ThinkPHP跨域请求失败_CORS中间件配置与Header设置-ThinkPHP-PHP中文网

thinkphp 6 的 corsmiddleware 未生效，主因是未正确注册为全局或路由中间件、执行顺序错误、提前终止响应、allowcredentials为true时allowheaders或origin配置不当、options预检未处理，或nginx未透传请求头。

thinkphp跨域请求失败_cors中间件配置与header设置

ThinkPHP 6 的 `CorsMiddleware` 为什么没生效

中间件注册了但浏览器仍报 CORS header 'Access-Control-Allow-Origin' missing，大概率是中间件没跑到请求链路里。ThinkPHP 6 默认只对 HTTP 请求中间件生效，而 CorsMiddleware 必须显式注册在全局中间件或路由分组中，且顺序不能错——它得在所有业务逻辑之前执行，否则响应头根本来不及加。

实操建议：

检查 app/middleware.php 是否已将 think\middleware\Cors 加入全局中间件数组（注意不是 CorsMiddleware 类名，官方类名就是 Cors）
若用路由分组，需在 route/app.php 中调用 ->middleware(\think\middleware\Cors::class)，不能只写字符串 'cors'（除非你手动绑定了别名）
确认没在控制器里提前 return json() 或 exit ——这会让中间件链中断，Header 就丢了

自定义 Header 时 `Access-Control-Allow-Headers` 被忽略

前端发了 X-Auth-Token 请求头，后端配了 allowHeaders 却还是报错 Request header field x-auth-token is not allowed by Access-Control-Allow-Headers，问题出在 ThinkPHP 对通配符 * 的处理逻辑上：当设置了 allowCredentials => true 时，Access-Control-Allow-Headers 不允许用 *，必须明确列出字段。

实操建议：

不要写 'allowHeaders' => ['*']，改用 'allowHeaders' => ['Content-Type', 'X-Auth-Token', 'Authorization']
如果前端用了自定义 header，就得全列出来，漏一个都不行；大小写要和前端实际发送的一致（HTTP header 不区分大小写但框架校验有时敏感）
allowCredentials 设为 true 时，Access-Control-Allow-Origin 也不能是 *，必须指定具体域名，比如 'http://localhost:3000'

POST 请求跨域失败，但 GET 正常

GET 请求能过，一发 POST 就卡在预检（OPTIONS）阶段，控制台显示 404 或 500，说明预检请求没被正确路由到。ThinkPHP 默认不自动处理 OPTIONS 方法，尤其当路由是闭包或资源路由时，容易漏掉对 OPTIONS 的支持。

实操建议：

在对应路由定义里显式加上 ->allowCrossDomain()（TP6.1+）或手动补一条 OPTIONS 路由：Route::options('/api/user', function () { return ''; });
检查是否启用了 AppDebug 模式，某些环境（如 Nginx + PATH_INFO）下，OPTIONS 请求可能被 Web 服务器直接拦截，压根没进框架
用 curl -X OPTIONS -I http://yourdomain.com/api/user 看响应头是否含 Access-Control-Allow-Methods，没有就说明中间件或路由没生效

部署到 Nginx 后跨域 Header 全部消失

本地开发一切正常，上线后所有 CORS 头都没了，连最基础的 Access-Control-Allow-Origin 都不出现。这不是 PHP 层的问题，而是 Nginx 把响应头给过滤了——特别是当配置了 fastcgi_pass 但没透传 header 时。

实操建议：

在 Nginx 的 location ~ \.php$ 块里加一行：fastcgi_pass_request_headers on;
确认没配置 underscores_in_headers off;（如果用了带下划线的 header 名，如 X_Api_Key，需要设为 on）
避免在 Nginx 层重复设置 CORS header（比如加了 add_header Access-Control-Allow-Origin "*";），会和 PHP 层冲突，导致部分 header 被覆盖或拒绝

跨域真正的麻烦点不在代码怎么写，而在「谁在加 header、谁在删 header、谁又在拦请求」——PHP、中间件、Web 服务器、CDN、反向代理，每一层都可能悄悄动你的头信息。