XAMPP下React+PHP项目无需跨域，根本原因是路径与响应头配置错误而非真正跨域；必须启用mod_headers模块、在Directory块中配置CORS头、PHP文件开头正确发送header并处理OPTIONS预检请求。
直接说结论：XAMPP 下 React + PHP 项目根本不需要“跨域”，只要路径和响应头配置对了，就不存在浏览器报 No 'Access-Control-Allow-Origin' header 的问题——你看到的所谓“跨域错误”，90% 是因为 Apache 没启用 mod_headers，或 PHP 响应头没在输出前发送，或前端请求发到了错误路径。
Apache 必须启用 mod_headers 模块
这是所有 CORS 配置生效的前提。XAMPP 默认注释掉了这一行：
LoadModule headers_module modules/mod_headers.so
不取消注释并彻底重启 Apache（不是“Restart”，是先 Stop 再 Start），Header set 指令在 httpd-vhosts.conf 或 httpd.conf 里写一百遍也无效，且不会报错，只会静默失效。
验证方式：访问 http://localhost/xampp/phpinfo.php，搜索 headers，看到 mod_headers 出现在 loaded modules 列表中才算成功。
常见错误：
- 只改了
.htaccess—— XAMPP 默认禁用AllowOverride All，且Header不在允许覆盖的指令集内，放进去直接 500 错误 - 在虚拟主机外全局写
Header set—— Apache 可能忽略，必须包在<directory></directory>或<virtualhost></virtualhost>块里 - 路径写错，比如用了单反斜杠
X: mpphtdocspi—— Windows 下必须用正斜杠X:/xampp/htdocs/api或双反斜杠X:\xampp\htdocs\api
PHP 接口必须返回正确 CORS 响应头
不能只靠前端代理或改端口糊弄过去。浏览器看到的是最终响应头，而它只来自 PHP 脚本或 Apache 配置。
最简可靠的写法（放在 PHP 文件最开头，任何 echo 或 print 之前）：
<?php header("Access-Control-Allow-Origin: http://localhost");
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
header("Access-Control-Allow-Headers: Content-Type, X-Requested-With, Authorization");
header("Access-Control-Allow-Credentials: true");
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
http_response_code(200);
exit();
}
// 后续业务逻辑...
?>
注意点：
-
Access-Control-Allow-Origin不能是*+Access-Control-Allow-Credentials: true共存，否则浏览器直接拒绝 - 如果前端带
credentials: true（比如 Axios 里写了withCredentials: true），就必须指定具体源，如http://localhost - 预检请求（OPTIONS）必须被明确处理，否则后续请求卡在 403/405
- PHP 输出前不能有任何空格、BOM 或
echo，否则header()报Cannot modify header information
React 构建后不能直接调用 /api/login.php
开发时 npm start 能通，是因为 Webpack Dev Server 做了代理；build 后扔进 XAMPP，浏览器会按实际 URL 发请求。如果你把 React 放在 htdocs/react/，又在代码里写 axios.post("/api/login.php")，实际发出的是 http://localhost/react/api/login.php —— 这个路径下根本没有可执行的 PHP 文件，Apache 也不会去解析它。
正确做法：
- PHP 文件必须放在 Apache 可执行路径下，比如
htdocs/api/login.php - React 中的请求 URL 改为绝对路径：
axios.post("http://localhost/api/login.php") - 确保
htdocs/api/目录在<directory></directory>块中已配置好 CORS 头（见第一个副标题） - 别把 PHP 文件放进
src/或build/api/—— 构建过程不会复制它们，更不会让 Apache 执行
别用 .htaccess 配 CORS，也别信“改端口就能跨域”
.htaccess 在 XAMPP 下默认不可用，且 Header 指令不在 AllowOverride 白名单里，强行写进去只会触发 500 错误。而只改 Apache 端口（比如配成 8080）只是让前后端变成不同源，反而激活了 CORS 检查——但没响应头，照样被拦。
真正要做的只有三件事：
- 启用
mod_headers并确认加载成功 - 在
<directory></directory>块里写死Header set Access-Control-Allow-Origin "http://localhost" - PHP 文件开头加
header()并处理OPTIONS
复杂点在于路径隔离和响应头顺序——前者容易漏掉 basename 或 RewriteBase，后者容易在 PHP 里提前输出内容。这两处出错，连 phpinfo() 都救不回来。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
