XAMPP配置多端口并启用Timing-Allow-Origin-php教程-PHP中文网

必须启用 apache 的 mod_headers 模块并同步配置 timing-allow-origin 与 access-control-allow-origin（值严格一致），且确保 options 预检通过，否则 performance api 无法获取 connectstart 等详细耗时字段。

xampp配置多端口并启用timing-allow-origin

Timing-Allow-Origin 不是 Apache 默认支持的响应头，XAMPP 本身也不提供开箱即用的 Timing API 跨域支持；必须手动启用 mod_headers 并显式设置该头，否则浏览器始终收不到它，performance.getEntriesByType('resource') 就无法拿到真实耗时数据。

为什么加了 `Timing-Allow-Origin` 还没效果

常见现象：前端调用 fetch() 后在 Performance API 中查不到 DNS/TCP/SSL 等详细时间，entry.duration 正常但 entry.connectStart 等字段全是 0 —— 这不是代码问题，而是服务端根本没返回 Timing-Allow-Origin 响应头。

Apache 默认不发送这个头，即使你已配好 Access-Control-Allow-Origin
没启用 mod_headers 模块时，Header set 指令完全被忽略（不会报错，静默失效）
Timing-Allow-Origin 必须和 Access-Control-Allow-Origin 值一致，不能一个写 *、一个写具体域名
如果前端请求带 credentials: true，Timing-Allow-Origin 也不能用 *，必须写明确域名

必须先启用 `mod_headers` 才能设 `Timing-Allow-Origin`

这步漏掉，后面所有配置都白搭。打开 XAMPP\apache\conf\httpd.conf，搜索：

LoadModule headers_module modules/mod_headers.so

删掉行首的 # 取消注释。确认没有拼写错误（比如写成 header_module 少了个 s），保存后重启 Apache。

XAMPP 8.0.30

XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin

下载

验证是否生效：执行 httpd -M | findstr headers，输出含 headers_module (shared) 表示加载成功
若重启失败，检查错误日志：XAMPP\apache\logs\error.log，常见原因是路径错或模块文件缺失
不要试图用 .htaccess 加这个头——XAMPP 默认禁用 Header 指令覆盖，会直接 500

在 `<directory></directory>` 或虚拟主机中同时设置两个 CORS 头

不能只加 Access-Control-Allow-Origin，Timing-Allow-Origin 必须同步配置。例如开发环境允许任意源：

<directory>
    Options Indexes FollowSymLinks
    AllowOverride All
    Require all granted
    Header set Access-Control-Allow-Origin "*"
    Header set Timing-Allow-Origin "*"
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type, X-Requested-With"
</directory>

生产环境必须把 * 换成具体域名，如 https://myapp.com，且两个头值严格一致
如果前端发的是带凭证的请求（credentials: true），两个头都不能用 *，且必须额外加 Header set Access-Control-Allow-Credentials "true"
Timing-Allow-Origin 只影响 Performance API 的字段可见性，不影响请求是否成功，别把它和功能型 CORS 头混淆

`OPTIONS` 预检请求必须能通过，否则 Timing 头压根不会发

浏览器对非简单请求（如带自定义 header 或 Content-Type: application/json）会先发 OPTIONS。如果 Apache 返回 405，整个请求链就断了，Timing-Allow-Origin 根本没机会发出。

确保虚拟主机或目录配置里有 Require all granted，否则 Apache 默认拒绝 OPTIONS
检查有没有其他重写规则（如 RewriteRule）把 OPTIONS 重定向或拦截了
临时加一行测试：Header always set X-Debug "options-passed"，用 curl 发 OPTIONS 请求看响应头是否出现

Timing API 的跨域支持是个“全有或全无”的链条：mod_headers 加载 → Timing-Allow-Origin 正确设置 → OPTIONS 可达 → 前端请求匹配该头值。任一环节断开，Performance 数据就只剩 duration。