ThinkPHP中ResponseHeader_自定义响应头与跨域配置【说明】-ThinkPHP-PHP中文网

thinkphp跨域需通过response对象在中间件中设置头信息，确保执行顺序前置；带credentials时access-control-allow-origin不能为*，须动态匹配白名单域名且启用access-control-allow-credentials:true。

thinkphp中responseheader_自定义响应头与跨域配置【说明】

ThinkPHP 中设置自定义响应头和跨域（CORS）不是简单加几行 header() 就能搞定的事，关键在于时机、顺序和请求类型区分。直接在控制器里写 header() 容易失效，尤其在 TP6+ 中，输出流程已被框架接管；而跨域失败常因 OPTIONS 预检没被正确响应，或凭证（Cookie / Authorization）与 Access-Control-Allow-Origin: * 冲突。

响应头必须在框架输出前注入

ThinkPHP 的响应对象（response()）是统一出口，手动调用 header() 只有在没有任何输出（包括空格、BOM、echo、var_dump）之前才有效。TP5.1 常见错误就是在 initialize() 里写 header()，结果被后续视图或 JSON 输出覆盖。

正确方式是用 response($data)->header('X-Custom-Header', 'value')，且必须放在 return 语句中，不能拆成两行
若需全局加头（如 X-Powered-By），推荐在中间件中操作 $response->header()，确保它在 $next($request) 返回后、最终输出前执行
避免在多个地方重复设置同一响应头，比如控制器设了 Access-Control-Allow-Origin，中间件又设一次，可能触发浏览器报错

跨域配置要分清“简单请求”和“预检请求”

浏览器对 GET/POST 且只含基础头（如 Content-Type: application/x-www-form-urlencoded）的请求不发预检；但只要带 Authorization、application/json 或自定义头，就会先发 OPTIONS 请求。TP6 默认不响应这个请求，直接 405 或静默失败。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

中间件中必须显式判断：if ($request->isOptions()) { return response('', 204); }
预检响应至少要带：Access-Control-Allow-Methods、Access-Control-Allow-Headers，且 204 状态码比 200 更规范
实际接口响应再补上：Access-Control-Allow-Origin、Access-Control-Allow-Credentials（如需）

带 Cookie 或 Authorization 时的硬性限制

一旦前端设置了 credentials: 'include' 或 xhrFields: { withCredentials: true }，后端就不能把 Access-Control-Allow-Origin 设为 *，否则浏览器直接拒绝响应。

必须指定具体协议+域名，例如 https://admin.example.com，且前后端域名必须完全匹配（含端口）
同时要设置 Access-Control-Allow-Credentials: true，缺一不可
如果前端是 localhost:3000，后端白名单就得包含它；多环境开发建议在中间件里读取请求头 Origin，动态校验并回写，而不是写死
ThinkPHP 的 session cookie 还需额外配 config/session.php 中的 'domain' => '.example.com'（注意开头的点）