ThinkPHP跨域请求路由为什么 OPTIONS 进不去-ThinkPHP-PHP中文网

ThinkPHP中OPTIONS请求未匹配路由，主因是中间件提前拦截；需将Cors中间件置于Session、JWT等之前，确保OPTIONS不被终止，并检查Nginx/Apache是否透传该方法。

thinkphp跨域请求路由为什么 options 进不去

ThinkPHP 路由没匹配到 OPTIONS 请求？先确认是否被中间件提前拦截

OPTIONS 请求根本进不了路由层，最常见原因是中间件栈里有某个中间件（比如 Session、JWT 验证、权限中间件）在 $request->isOptions() 为真时没做放行，直接抛异常或返回 401/403/500 —— 此时请求连路由匹配阶段都没到达。

检查 app/middleware.php 中全局中间件顺序，确保以下任一条件满足：

\think\middleware\Cors::class 或自定义 CORS 中间件必须放在数组靠前位置（建议第 2 或第 3 位），严格早于 \think\middleware\SessionInit::class、\think\middleware\CheckAuth::class 等业务中间件
若用了 topthink/think-cors 插件，确认其配置中 'paths' => ['api/*'] 匹配了你的实际请求路径；不匹配则中间件压根不执行，OPTIONS 就会 fallback 到默认 404 或 405
多应用模式下，app/middleware.php 是“应用级”配置，不是根目录那个；别改错文件

ThinkPHP 8.0 的 `allowCrossDomain()` 对 OPTIONS 无效？它只修饰路由，不注册中间件

Route::get('api/user', 'Api/User@index')->allowCrossDomain(['https://a.com'], true) 这个调用本身不会让框架自动响应 OPTIONS 请求——它只是给该路由的最终响应打上 CORS 头，但前提是请求得先通过中间件、走到路由匹配、再进控制器。如果 OPTIONS 请求在中间件环节就被卡住或 404，这个方法完全不起作用。

真正起效的前提是：

该路由必须是 HTTP 类型（不能是 console 或 event）
OPTIONS 请求必须能抵达路由层，即中间件栈未提前终止它
控制器中不能用 response()->json() 等方式覆盖响应头（TP8.0+ 响应对象会重置 header）

为什么 Nginx/Apache 下 OPTIONS 总是 405？检查服务器是否拦截了非标准方法

即使 ThinkPHP 配置正确，Nginx 默认可能拒绝 OPTIONS 方法，返回 405 Method Not Allowed。这不是 PHP 层问题，而是 Web 服务器把请求拦在了入口前。

验证方式：临时在 Nginx 配置中加一行，透传所有 OPTIONS 请求给 PHP：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

location / {
    if ($request_method = 'OPTIONS') {
        add_header Access-Control-Allow-Origin "*";
        add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
        add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With";
        add_header Access-Control-Allow-Credentials "true";
        add_header Access-Control-Max-Age "86400";
        return 204;
    }
    try_files $uri $uri/ /index.php?$query_string;
}

注意：add_header 必须在 return 204 前，否则不生效；生产环境建议把 Origin 白名单动态化，避免硬编码 *。

OPTIONS 响应头被覆盖或丢失？关键在 `$response->header()` 的调用时机

很多自定义中间件写成这样：

public function handle($request, \Closure $next)
{
    $response = $next($request);
    $response->header('Access-Control-Allow-Origin', '*');
    return $response;
}

这在 OPTIONS 请求下是错的：因为 $next($request) 已触发完整流程，可能已返回 405 或空响应，$response 实际是错误响应对象，再设 header 无效。

正确做法永远是：对 OPTIONS 请求，立刻 return，不走 $next：