thinkphp 6 必须手动配置 cors 白名单，禁用 access-control-allow-origin: * 配合 credentials；需通过自定义中间件校验 origin 是否在预设白名单中，并动态返回匹配域名、启用 allow-credentials，且中间件须前置注册。
ThinkPHP 6 默认不开启 CORS，必须手动配置白名单；直接用 * 允许所有域名等于放弃安全控制，生产环境严禁这么做。
为什么不能用 Access-Control-Allow-Origin: * 配合凭据
当请求携带 credentials（如 cookies、Authorization header）时，浏览器会拒绝响应，除非 Access-Control-Allow-Origin 是具体域名，不能是 *。ThinkPHP 的中间件若没校验来源，就硬写死 *，会导致登录态跨域失效且报错 Response to preflight request doesn't pass access control check。
- 前端发请求带
withCredentials: true→ 后端必须返回精确匹配的 Origin - ThinkPHP 默认中间件不解析 Origin，需自行比对白名单
- 白名单必须是完整协议+域名+端口（如
https://admin.example.com），不含路径
在中间件中实现动态白名单校验（TP6.1+）
推荐新建中间件 app/middleware/CorsMiddleware.php，避免修改核心或框架默认行为：
namespace app\middleware;
use think\Response;
class CorsMiddleware
{
protected $allowOrigins = [
'https://admin.example.com',
'https://shop.example.com',
'http://localhost:3000',
];
public function handle($request, \Closure $next): Response
{
$origin = $request->header('Origin', '');
if (!empty($origin) && in_array($origin, $this->allowOrigins)) {
$response = $next($request);
$response->header([
'Access-Control-Allow-Origin' => $origin,
'Access-Control-Allow-Methods' => 'GET,POST,PUT,DELETE,OPTIONS',
'Access-Control-Allow-Headers' => 'Content-Type,Authorization,X-Requested-With',
'Access-Control-Allow-Credentials' => 'true',
'Access-Control-Max-Age' => '3600',
]);
return $response;
}
// 非预检请求正常放行；预检请求（OPTIONS）直接返回 204
if ($request->method() === 'OPTIONS') {
return Response::create('', 'html', 204);
}
return $next($request);
}
}
- 白名单数组写死在中间件里，便于审计和版本控制，不建议从配置文件或数据库读取（增加延迟且易被绕过）
- 必须检查
$origin是否为空，否则未带 Origin 的请求也会触发 header 设置，可能干扰非浏览器客户端 - 不要在
handle()开头就统一设 header，必须先判断 Origin 是否合法
注册中间件并注意执行顺序
在 app/middleware.php 中注册，位置要靠前（早于鉴权、日志等中间件）：
return [
// 必须放在最前面之一，确保 OPTIONS 请求被拦截
\app\middleware\CorsMiddleware::class,
// 后续其他中间件...
];
- 如果用了多应用模式，需在对应应用的
middleware.php中注册 - 若同时启用
think-middleware-cors扩展包，务必卸载——它不支持 Origin 白名单校验，只支持静态*或固定域名 - 调试时可用
curl -H "Origin: https://admin.example.com" -I http://your-api.com/api/user检查响应头是否含正确Access-Control-Allow-Origin
真正麻烦的不是写几行 header，而是每次新增合作方域名都要改代码、走发布流程、重新验证——白名单必须和上线审批强绑定，漏加一个域名前端就 403，加错一个就埋下越权隐患。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
