XAMPP不自动启用CORP头，需手动在httpd-vhosts.conf中通过mod_headers模块添加Header指令配置，如Header always set Cross-Origin-Resource-Policy "same-origin"，并验证语法后重启Apache。
XAMPP 本身不支持 Cross-Origin-Resource-Policy（CORP）头的自动启用，它也不是靠“配置多端口”来解决跨域问题的。真正需要的是：明确区分「前端访问后端」和「静态资源被其他站点加载」两种场景，再分别处理。
为什么不能靠 XAMPP 开多端口解决跨域
开多个端口（比如 :8080、:8081）只是让 Apache 监听不同入口，但浏览器判定跨域看的是「协议+域名+端口」三者是否完全一致。例如：http://localhost:8080 和 http://localhost:8081 就是不同源——这跟 XAMPP 能不能开多端口无关，而是浏览器强制行为。
常见误解是：“我把前端放 :8080，后端放 :8081，再配个代理就 OK”。但实际开发中，更可靠的做法是：
- 前端本地起 dev server（如 Vite、Webpack Dev Server），用内置 proxy 配置转发 API 请求到后端端口
- 后端服务（如 ASP.NET Core、Node.js）自己返回正确的
Access-Control-Allow-Origin等 CORS 响应头 - XAMPP 只用来托管纯静态 HTML/PHP 项目，或作为后端运行环境，不承担“跨域协调”角色
Cross-Origin-Resource-Policy 是什么，和 CORS 不是一回事
Cross-Origin-Resource-Policy（CORP）是服务器发给浏览器的一个响应头，作用是「阻止其他源加载本资源」，属于“防御性策略”。它和 Access-Control-Allow-Origin（CORS）方向相反：
- CORS：告诉浏览器“允许谁来读我”（主动放行）
- CORP：告诉浏览器“禁止谁来加载我”（主动封锁）
比如你在 XAMPP 的 htdocs/myapp 下放了一个敏感 JSON 文件，又不希望被别的网站通过 <script></script> 或
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
Header always set Cross-Origin-Resource-Policy "same-origin"
这个配置要写在 Apache 的 .htaccess 或 httpd-vhosts.conf 里，并确保启用了 mod_headers 模块（XAMPP 默认已启用）。
在 XAMPP 中手动添加 CORP 头的实操要点
直接改虚拟主机配置最稳妥，避免全局影响：
- 编辑
XAMPP\apache\conf\extra\httpd-vhosts.conf - 在对应
<ifmodule mod_headers.c> Header always set Cross-Origin-Resource-Policy "same-origin" </ifmodule> - 注意：
"same-origin"表示只允许同源加载；也可用"same-site"（同站）、"cross-origin"（不限制，等价于不设） - 修改后必须运行
httpd -t验证语法，再重启 Apache - 别在
DocumentRoot目录下乱放.htaccess——XAMPP 默认禁用AllowOverride，除非你显式打开
CORP 和 CORS 同时存在时，谁起作用
两者不冲突，但职责不同：
- 如果前端发
fetch()请求一个带Cross-Origin-Resource-Policy: same-origin的接口，浏览器会直接拒绝，连请求都发不出去（CORS 根本没机会生效） - 如果资源是图片、字体、脚本这类“嵌入型资源”，CORP 会拦截加载；而 AJAX 请求走的是 CORS 流程
- 所以：后端 API 接口通常只需配 CORS，不用 CORP；静态资源（尤其敏感 JSON/JS）才考虑加 CORP
最容易被忽略的是：CORP 对 XMLHttpRequest 和 fetch() 无效，只对 <script></script>、 等资源加载行为起作用。想拦住 AJAX，只能靠 CORS 配置或服务端鉴权。
