Nginx在phpEnv中必须显式拦截OPTIONS请求并返回204，否则预检失败导致前端卡在403或CORS错误；配置位于C:\phpEnv\nginx\conf\nginx.conf或vhosts\下站点文件，需在location块内用if($request_method='OPTIONS'){add_header...always;return204;}正确配置。
Nginx 在 phpEnv 环境中必须显式拦截 OPTIONS 请求并返回 204，否则浏览器预检失败，前端卡在 OPTIONS 403 或 CORS 错误上。
phpEnv 的 Nginx 配置位置在哪
phpEnv 默认把 Nginx 配置文件放在：C:\phpEnv\nginx\conf\nginx.conf 或站点专属配置（如 C:\phpEnv\nginx\vhosts\your-site.conf）。不要改全局 http 块，直接在对应 location / 或 location ~ \.php$ 块内加逻辑。phpEnv 启动后 reload 不生效？得用面板「重启 Nginx」或手动执行 nginx -s reload（确保在 C:\phpEnv\nginx 目录下运行）。
if ($request_method = 'OPTIONS') { return 204; } 必须写对位置
这个判断不能写在 server 块顶层，也不能嵌套在另一个 if 里——Nginx 会报错或静默忽略。正确做法是放在具体 location 内，且优先级要高于 try_files 或 fastcgi_pass：
- 放在
location /最开头，紧贴{后 - 必须用单引号包裹字符串：
if ($request_method = 'OPTIONS')，写成双引号或不加引号会语法错误 - 后面必须跟
return 204;，不能用echo、break或rewrite - 别漏掉分号——Nginx 对标点极其敏感，少一个分号整个 location 可能失效
Access-Control-Allow-Headers 必须匹配前端实际发的头
前端若带了 Authorization 或 X-Request-ID，但 Nginx 的 add_header Access-Control-Allow-Headers 没列全，预检就 403。常见错误包括：
- 写成
add_header Access-Control-Allow-Headers '*';—— 这在Access-Control-Allow-Credentials: true时直接被浏览器拒绝 - 大小写混乱：前端发
authorization，你配Authorization没问题；但若配成AUTHORIZATION，某些旧版 IE 或中间件可能不认 - 漏掉
Content-Type：哪怕只用application/json，也得显式写上，不能依赖“默认包含” - 多个
add_header同名头只生效最后一个，所以把所有 CORS 头集中写在一个 location 块里
推荐写法（放在同一 location 内）：
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' '$http_origin' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization,X-Request-ID' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Max-Age' '1728000' always;
return 204;
}
Origin 动态响应时 $http_origin 为空怎么办
本地开发常遇到：前端跑在 http://localhost:3000，但 Nginx 收到的 $http_origin 是空字符串。原因通常是浏览器没发 Origin 头（比如用 curl 测试没加 -H "Origin: http://localhost:3000"），或 phpEnv 的 Nginx 版本太老（低于 1.13.5）不支持 $http_* 变量自动提取。解决方法：
- 先确认请求真带了 Origin：用 Chrome DevTools → Network → 点开 OPTIONS 请求 → Headers → Request Headers 查看是否有
Origin: ... - 如果确实没发，检查前端代码是否用了
fetch(..., { credentials: 'include' })但没设headers: { 'Origin': '...' }（不该手动设，浏览器自动加） - 若变量始终为空，退而求其次用白名单 + map：在
http块定义map $http_origin $cors_origin { ... }，再在 location 中引用$cors_origin - 生产环境绝不硬编码
*配合Access-Control-Allow-Credentials true，否则浏览器直接屏蔽响应
最易被忽略的一点：phpEnv 自带的 Nginx 往往启用了 underscores_in_headers on;，但如果你手动改过配置又删了这行，带下划线的自定义头（如 X-Auth-Token）会被直接丢弃——预检永远过不去。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
