如何在PHP环境中实现跨域资源共享_在代码中设置header("Access-Control-Allow-Origin")-php教程-PHP中文网

PHP中设置Access-Control-Allow-Origin头无效的常见原因包括：响应被提前输出（如BOM、空格、echo）、服务器配置覆盖头、Credentials与通配符*冲突；带Credentials时须白名单校验HTTP_ORIGIN并精确返回对应域名，同时设Access-Control-Allow-Credentials: true；非简单请求需手动处理OPTIONS预检，返回必要CORS头后exit；Apache/Nginx可能拦截或重写头，应通过curl -I直连验证实际响应。

如何在php环境中实现跨域资源共享_在代码中设置header("access-control-allow-origin")

PHP中设置Access-Control-Allow-Origin头为什么有时无效

直接写 header("Access-Control-Allow-Origin: *") 在部分场景下会失效，常见原因不是代码没执行，而是响应已被其他逻辑提前发送（比如输出了空格、BOM头、或之前有echo）、或者服务器配置（如Nginx）拦截并重写了响应头。另外，如果请求带了认证信息（Credentials），* 就不被允许，必须指定确切域名。

带Credentials时如何安全指定Origin

当前端用 fetch({ credentials: 'include' }) 或 XMLHttpRequest.withCredentials = true 时，后端不能用通配符，必须动态比对并回传请求中的 Origin 值（前提是该域名在白名单内）。

先从 $_SERVER['HTTP_ORIGIN'] 获取原始来源，注意该字段可能为空（比如非CORS请求或被代理过滤）
只允许预设的几个域名，例如 ['https://a.example.com', 'https://b.example.com']，避免直接反射任意Origin
必须同时设置 Access-Control-Allow-Credentials: true，否则浏览器会拒绝响应

示例片段：

$allowed_origins = ['https://a.example.com', 'https://b.example.com'];
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
if (in_array($origin, $allowed_origins)) {
    header("Access-Control-Allow-Origin: $origin");
    header('Access-Control-Allow-Credentials: true');
}

预检请求（OPTIONS）必须手动处理

当请求含自定义头、非简单方法（如PUT/DELETE）或Content-Type为application/json时，浏览器会先发一个OPTIONS请求。PHP脚本若没响应这个请求，后续实际请求就卡住。

Web Accessibility (WCAG 2 AA))

将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。

下载

检查 $_SERVER['REQUEST_METHOD'] === 'OPTIONS'
此时只需返回200状态码，并设置必要CORS头，无需业务逻辑

必须包含 Access-Control-Allow-Methods 和 Access-Control-Allow-Headers，例如：

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header('Access-Control-Allow-Origin: https://a.example.com');
    header('Access-Control-Allow-Credentials: true');
    header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
    header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
    header('Access-Control-Max-Age: 86400');
    exit;
}

Apache/Nginx是否覆盖了PHP的header

有些服务器配置会强制清除或重写Access-Control-Allow-Origin，尤其是启用了安全模块（如mod_security）或反向代理时。最简单的验证方式是用curl -I直连PHP文件，绕过Web服务器中间层：

curl -I http://localhost/test.php 查看响应头是否真包含你写的CORS头
如果直连正常但通过Nginx访问失效，检查Nginx配置里是否有 add_header 覆盖，或是否漏加 always 参数（Nginx 1.7.5+需 add_header ... always; 才能对非2xx响应生效）
Apache下确认没启用 Header always set 类指令冲突

跨域问题真正卡住的地方，往往不在PHP代码本身，而在头是否最终抵达浏览器——多用curl -I和浏览器Network面板里的“Response Headers”对照验证，比反复改PHP更有效。