答案是通过四种方式配置：一、路由级allowcrossdomain()方法；二、自定义cors中间件统一处理；三、think-cors扩展支持白名单与正则匹配；四、控制器内手动设header。
你在开发ThinkPHP7项目时，前端页面发起AJAX请求被浏览器拦截并提示“CORS header ‘Access-Control-Allow-Origin’ missing”，说明服务端未正确响应跨域请求头。这通常发生在前后端分离部署、本地开发环境（如http://localhost:3000）调用后端API（如http://api.example.com）的场景中。
路由级配置：仅对特定接口启用跨域
该方式适合只开放部分API、不希望影响其他路由的轻量需求，且无需修改中间件或全局配置。
第一步：打开route/app.php文件，在目标路由定义末尾添加->allowCrossDomain()链式调用。
第二步：若允许任意前端域名访问，直接传空参数：Route::get('api/user', 'Api/User::index')->allowCrossDomain();。此时框架自动注入Access-Control-Allow-Origin: *等标准头。
第三步：若需限定来源（例如只允许https://admin.example.com和http://localhost:8080），传入数组：->allowCrossDomain(['https://admin.example.com', 'http://localhost:8080'])。
第四步：如果前端fetch设置了credentials: true（如携带Cookie），必须显式启用凭据支持：->allowCrossDomain(['https://admin.example.com'], true)——【此时Access-Control-Allow-Origin不可为*，否则浏览器将拒绝响应】。
全局中间件配置：覆盖全部HTTP请求
这是TP7中最稳定、最推荐的生产级方案，能统一处理OPTIONS预检请求，避免405错误和静默失败。
方法一：手动创建Cors中间件
执行命令生成中间件：php think make:middleware CorsMiddleware。
编辑app/middleware/CorsMiddleware.php，在handle()方法开头插入预检拦截逻辑：if ($request->isOptions()) { return response('', 204); }——这一步必须存在，否则浏览器预检失败会直接中断后续请求。
在return $next($request)之前，设置响应头：$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com');、$response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');、$response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With');。
将\app\middleware\CorsMiddleware::class添加到app/middleware.php的全局中间件数组首位，确保它最先执行、最后结束。
使用think-cors扩展：白名单+正则匹配+缓存控制
当你需要动态匹配子域名（如允许dev.example.com、staging.example.com）、按路径粒度控制跨域（如只开放api/v1/*）、或需设置max_age减少预检频次时，此方案最合适。
执行命令安装：composer require topthink/think-cors。
在config/目录下新建cors.php，填入完整配置：
return [
'allowed_origins' => ['https://admin.example.com', 'http://localhost:3000'],
'allowed_origins_patterns' => ['#^https://.*\.example\.com$#'],
'allowed_methods' => ['GET', 'POST', 'PUT', 'DELETE'],
'allowed_headers' => ['Content-Type', 'Authorization'],
'supports_credentials' => true,
'max_age' => 7200,
'paths' => ['api/v1/*']
];
在app/middleware.php中注册：\think\cors\CorsMiddleware::class，放在中间件列表最上方。
注意：【若启用了supports_credentials，则allowed_origins中不能含*，且必须与请求头Origin字段完全匹配，否则浏览器丢弃响应】。
控制器内临时调试：快速验证但不可用于生产
仅限开发阶段快速测试，比如你刚写完一个接口想立刻看是否通，又不想动配置文件。
在控制器方法第一行插入：header('Access-Control-Allow-Origin: *');。
紧接着加两行：header('Access-Control-Allow-Methods: GET, POST, OPTIONS');和header('Access-Control-Allow-Headers: Content-Type, Authorization');。
如果该接口会被前端带Cookie调用，再加一行：header('Access-Control-Allow-Credentials: true');——但此时Access-Control-Allow-Origin必须是具体域名，不能是*。
这一步操作起来很简单，直接把三行header()贴进去就行；但要注意，TP7中若后续有框架输出（如view渲染或json返回）可能覆盖你设的头，所以务必放在方法最开头，且不要混用response()->header()和header()函数。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
