documentroot 是 apache 的根目录起点，跨域配置必须依附于它所定义的访问范围——不是加在任意位置就行，而是要落在对应 块内，且权限与头信息同步生效。否则即使写了 header set，也可能因目录未授权或模块未启用而失效。
DocumentRoot 是 Apache 的根目录起点，跨域配置必须依附于它所定义的访问范围——不是加在任意位置就行，而是要落在对应 <directory></directory> 块内，且权限与头信息同步生效。否则即使写了 Header set，也可能因目录未授权或模块未启用而失效。
DocumentRoot 和跨域配置必须配套
DocumentRoot 指向你的网站实际文件位置（比如 /var/www/api 或 D:/project/public），所有请求默认从这里开始解析。跨域响应头（如 Access-Control-Allow-Origin）需要在这个路径对应的 <directory></directory> 区块里设置，否则 Apache 不知道该对哪些资源生效。
- 确保
<directory documentroot></directory>存在，并包含Require all granted - 跨域头指令（
Header set ...）必须写在这个<directory></directory>块内部，不能只放在<virtualhost></virtualhost>顶层 - 路径字符串要完全一致：比如
DocumentRoot "/var/www/api"，那么<directory></directory>的引号内不能多尾斜杠、不能大小写错误、不能用相对路径
必须启用 mod_headers 模块
Apache 默认不开启自定义响应头功能。跨域依赖 mod_headers，否则 Header set 指令会被忽略，日志里可能报 Invalid command 'Header'。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 打开
httpd.conf，找到这行：#LoadModule headers_module modules/mod_headers.so - 删掉开头的
#取消注释 - 重启 Apache（
sudo systemctl restart apache2或宝塔面板点重启） - 验证是否启用：
apache2ctl -M | grep headers（Linux）或查看宝塔「模块管理」中是否勾选
跨域头建议写法（兼顾安全与兼容）
直接写 * 简单但有局限：无法携带 Cookie（withCredentials: true 会失败），也不支持多域名白名单。生产环境推荐按需配置。
- 允许任意源（开发调试用）：
Header set Access-Control-Allow-Origin "*" - 允许指定域名（带凭证）：
SetEnvIf Origin "https://admin.example.com" ACAO=$0<br>Header always set Access-Control-Allow-Origin %{ACAO}e env=ACAO - 必须加
always：避免 404、500 等非 2xx 响应缺失跨域头，导致前端拿不到错误详情 - 常见组合（写在同一个
<directory></directory>内）：Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS"<br>Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"<br>Header always set Access-Control-Allow-Credentials "true"<br>Header always set Access-Control-Max-Age "86400"
注意反向代理场景下的特殊处理
如果你用 Apache 做反向代理（比如把 /api 转发到 Node.js 后端），DocumentRoot 对应的是前端静态资源目录，而跨域头应该加在被代理的目标接口上——这时不能靠 DocumentRoot 所在的 <directory></directory>，得改用 <location></location> 或在后端加头。
- 若代理规则是
ProxyPass "/api" "http://127.0.0.1:3000/api"，跨域应由 Node.js 服务自己设置 - 如果坚持用 Apache 统一加头，可用
<location></location>块替代<directory></directory>，并确保mod_proxy和mod_headers都已启用 -
<location></location>不检查文件系统路径，只匹配 URL 路径，适合代理/重写后的逻辑路径
