怎么在Apache中配置跨域资源共享CORS头部信息教程-Apache-PHP中文网

必须启用mod_headers模块并重启apache，再用header指令设置cors头，且需处理options预检请求；.htaccess配置受限于allowoverride设置且无法响应options正文。

怎么在apache中配置跨域资源共享cors头部信息教程

确认 mod_headers 模块已启用

Apache 默认不启用 mod_headers，没它就无法用 Header 指令设置 CORS 头。先检查是否已加载：

apache2ctl -M | grep headers（Debian/Ubuntu）或 httpd -M | grep headers（RHEL/CentOS）

如果无输出，说明未启用，需执行：

sudo a2enmod headers（Debian/Ubuntu）
或在 httpd.conf 中取消注释：LoadModule headers_module modules/mod_headers.so（RHEL/CentOS）
改完必须重启：sudo systemctl restart apache2 或 sudo systemctl restart httpd

不重启，配置永远不生效——这是最常被跳过的一步。

用 Header 指令添加核心 CORS 响应头

CORS 行为由一组固定响应头控制，必须成对出现、语义明确。推荐在 <virtualhost></virtualhost> 或 <directory></directory> 块中写入：

<ifmodule mod_headers.c>
  Header always set Access-Control-Allow-Origin "https://your-frontend.com"
  Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS"
  Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"
  Header always set Access-Control-Allow-Credentials "true"
  Header always set Access-Control-Max-Age "86400"
</ifmodule>

注意几个关键点：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

Access-Control-Allow-Origin 不能和 Access-Control-Allow-Credentials: true 同时设为 "*"，否则浏览器直接拒绝；生产环境务必写具体域名
Header always set 比 Header set 更稳妥，确保预检请求（OPTIONS）也能带上头
Access-Control-Allow-Headers 必须包含前端实际发送的自定义头，比如 X-Requested-With 或 X-Auth-Token，漏一个就会触发预检失败

必须处理 OPTIONS 预检请求

带 Authorization、Content-Type: application/json 或自定义 header 的请求，浏览器会先发一个 OPTIONS 请求探测权限。Apache 默认不响应它，导致跨域卡死。

两种可靠做法：

用 mod_rewrite 直接返回 200：
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
或更轻量：在同个 <directory></directory> 块里加一行：
Require all granted（确保 OPTIONS 不被访问控制拦截）

别依赖“前端只发简单请求”这种假设——开发阶段一切正常，上线后加个 header 就崩，就是没处理 OPTIONS 的典型表现。

通过 .htaccess 配置的限制与风险

若只能用 .htaccess（如共享主机），配置本身和主配置一致，但有两个硬性前提：

AllowOverride 必须设为 All，否则 Header 指令被忽略；检查对应 <directory></directory> 块里是否有：AllowOverride All
.htaccess 无法处理 OPTIONS 请求的响应体（只管头），所以仍需配合 mod_rewrite 规则返回 200

另外，.htaccess 是运行时解析，性能略低；且一旦路径层级深、规则多，容易因继承顺序错乱导致 CORS 头重复或丢失——调试时用浏览器 DevTools 的 Network → Response Headers 看真实返回，别信配置文件写了就一定生效。