yii2跨域问题本质是响应头写入时机不当：cors过滤器在认证失败（如401）前不执行，导致浏览器收不到access-control-allow-origin；需在认证类中手动设置响应头，且origin不可为*当access-control-allow-credentials为true时。
直接加 Access-Control-Allow-Origin: * 多数时候不管用，尤其带凭证（withCredentials: true）或返回 401/403 时，浏览器根本收不到响应头——问题不在“没加”，而在“加得太晚”。
Yii 的 Cors 过滤器在鉴权前不生效
当你用 Bearer token 访问接口，但 token 无效触发 AuthMethod::authenticate() 抛出 401，这个异常发生在 Cors 过滤器执行之前。Nginx 层的跨域头也覆盖不了，因为 PHP 还没开始跑 Yii 的行为链。
常见现象：
- 正常 GET/POST 返回 200 时跨域 OK，但 401 响应在 Chrome Network 面板里显示
Failed to load response data - 控制台报错：
No 'Access-Control-Allow-Origin' header is present on the requested resource - 哪怕你在
behaviors()里配了corsFilter，它对 401 完全无感
解决思路：必须让跨域响应头在认证失败前就写入 Response 对象。
实操建议：
- 不要动
vendor/yiisoft/yii2/filters/auth/AuthMethod.php—— 确实烂，且升级必崩 - 在应用级入口（如
web/index.php）最开头加一段裸 header 输出，但只对 OPTIONS 预检请求生效，对 401 无效 - 推荐做法：重写一个继承自
yii\filters\auth\HttpBearerAuth的类，在authenticate()方法末尾手动设置 header
示例（放在 common/components/SecureHttpBearerAuth.php）：
public function authenticate($user, $request, $response)
{
$identity = parent::authenticate($user, $request, $response);
if ($identity === null) {
$response->getHeaders()->set('Access-Control-Allow-Origin', 'https://your-frontend.com');
$response->getHeaders()->set('Access-Control-Allow-Credentials', 'true');
$response->getHeaders()->set('Access-Control-Allow-Headers', 'Authorization, Content-Type');
}
return $identity;
}
Origin 不能写 * + Access-Control-Allow-Credentials: true
这是浏览器硬性限制，不是 Yii 报错。只要前端用了 withCredentials: true（比如 axios 默认带 cookie 或手动传 token），后端就不能用通配符 Origin: *。
错误配置：
'Origin' => ['*'], 'Access-Control-Allow-Credentials' => true
会直接导致 Yii 抛出异常：Allowing credentials for wildcard origins is insecure。
实操建议：
- 开发环境可固定写
['http://localhost:8080'] - 生产环境务必从
Yii::$app->params['acceptableHosts']动态读取，避免硬编码 - 如果前端是多域名（如
app.example.com和admin.example.com），得显式列出，不能靠正则或通配 - 注意：
Origin值必须和请求头里的完全一致（协议、端口、大小写），https://example.com≠http://example.com
Nginx 和 Yii 双层 CORS 配置会冲突
很多人先在 nginx 加了 add_header Access-Control-Allow-Origin "*";，再在 Yii 控制器里又加 corsFilter，结果浏览器报错：The 'Access-Control-Allow-Origin' header contains multiple values。
原因：Nginx 的 header 是无条件追加的，而 Yii 的 Cors 过滤器也会输出同名 header，两者叠加就重复了。
实操建议：
- 二选一：要么全交给 Nginx（适合简单场景，但无法处理 401/403 跨域）
- 要么全交给 Yii（推荐），并确保 Nginx 配置里删掉所有
add_header Access-Control-*相关行 - 若必须共存，可在 Nginx 中用
if ($request_method = 'OPTIONS') { ... }仅对预检请求加 header，放过实际请求
真正卡住人的地方，从来不是“怎么加 header”，而是 header 该在哪个生命周期点加——认证失败时，PHP 已经准备输出 HTTP 状态码，但 Yii 的过滤器链早结束了。这时候得逆向钻进认证逻辑里补一刀，而不是在控制器里反复调试 behaviors。
