必须先启用mod_headers模块，否则所有header set指令均无效；需取消httpd.conf中loadmodule headers_module modules/mod_headers.so的注释并彻底重启apache，再在directory或virtualhost块中配置cors头及require method options等完整规则。
mod_headers模块没启用，Header set全无效
所有跨域响应头（Access-Control-Allow-Origin等）都依赖mod_headers模块。XAMPP默认注释掉这行：LoadModule headers_module modules/mod_headers.so，不取消注释并重启Apache，任何Header set指令都不会生效——浏览器收不到头，控制台持续报No 'Access-Control-Allow-Origin' header。
操作步骤：
- 打开
X: mpppacheconfhttpd.conf，搜索headers_module - 删掉
LoadModule headers_module modules/mod_headers.so开头的# - 保存后，在XAMPP控制面板中**彻底停止再启动Apache**（仅“Restart”可能不触发模块重载）
- 验证：访问
http://localhost/xampp/phpinfo.php，搜索headers，确认模块出现在“Loaded Modules”列表里
别用.htaccess，改<directory></directory>块才可靠
XAMPP默认禁用Header指令在目录级覆盖，直接在项目根目录放.htaccess会返回500 Internal Server Error，而不是跨域失败。必须把配置写进httpd-vhosts.conf或httpd.conf中的<directory></directory>块。
关键点：
- 路径必须与项目物理路径完全一致，Windows下用正斜杠
/或双反斜杠\，单反斜杠会导致解析失败 -
AllowOverride All是必需的，但还不够——还需Require all granted - 示例（放在
httpd-vhosts.conf内）：<directory> Options Indexes FollowSymLinks AllowOverride All Require all granted Header set Access-Control-Allow-Origin "*" Header set Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" Header set Access-Control-Allow-Headers "Content-Type, X-Requested-With, Authorization" </directory>
OPTIONS预检请求返回405，不是CORS配置问题
浏览器发OPTIONS预检时返回405 Method Not Allowed，说明请求根本没走到Header设置逻辑，而是被Apache方法权限层拦截了。这不是跨域头写得不对，是HTTP方法没放开。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
解决方式：
- 在同一个
<directory></directory>块里加：Require method GET POST HEAD OPTIONS - 如果用了
mod_rewrite，检查是否有类似RewriteCond %{REQUEST_METHOD} !^(GET|POST)$的规则——它会无差别拒掉OPTIONS，需显式加入OPTIONS到白名单 - 开发阶段可临时用
Require all granted快速验证，通后再收紧
生产环境不能用*，且带credentials必须配Allow-Credentials
Access-Control-Allow-Origin "*"只适用于开发；一旦前端设置了credentials: true（比如带Cookie或Authorization头），浏览器会直接拒绝*，必须指定完整协议+域名，例如https://myapp.com。
同时要加这一行：Header set Access-Control-Allow-Credentials "true"，否则浏览器仍判为非法响应。
注意：Header set对同一header名只保留最后一行，想允许多个域名得用Header add配合条件判断（复杂且易错），本地调试建议直接按实际前端地址配单域名。
最常被跳过的一步：改完httpd.conf后忘了重启Apache，或者只重载配置没真正重启——模块加载和<directory></directory>生效都依赖完整进程重启，不是刷新页面能解决的。
