ThinkPHP跨域请求被拦截的CORS配置方法-ThinkPHP-PHP中文网

thinkphp跨域被拦截本质是后端未按cors协议返回合法响应头或未正确响应options预检；须从响应时机、头字段值、凭证兼容性三方面解决：路由级allowcrossdomain()精准控制api路由，自定义corsmiddleware全局统一处理并拦截options，或使用topthink/think-cors插件生产环境首选，同时注意credentials启用时access-control-allow-origin不可为*、nginx禁用重复头、必须操作$response对象设header。

thinkphp跨域请求被拦截的cors配置方法

ThinkPHP跨域请求被拦截，本质是后端没按CORS协议返回合法响应头，尤其缺失 Access-Control-Allow-Origin，或没正确响应 OPTIONS 预检请求。解决必须从响应时机、头字段值、凭证兼容性三方面入手，不能只加一行 header。

路由级 allowCrossDomain()（精准控制 API 路由）

适合前后端分离项目，只对指定接口开放跨域，不污染后台或其他路由。

在 route/app.php 中定义路由时链式调用，例如：
Route::post('api/login', 'Api/Login@login')->allowCrossDomain(['https://admin.example.com', 'http://localhost:3000'], true);
第二个参数为 true 时，第一个参数必须是明确域名数组，不能含 *；否则浏览器会直接丢弃响应
若用路由分组，写法为：
Route::group('api/v1', function () { /* 子路由 */ })->allowCrossDomain(['...'], true);，且 ->allowCrossDomain() 必须在分组末尾
该方法仅作用于 HTTP/HTTPS 路由，console 或 event 类型路由无效

自定义 CorsMiddleware（全局统一处理，推荐）

需手动拦截 OPTIONS 请求并设置响应头，否则预检失败，真实请求根本发不出。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

执行命令生成中间件：php think make:middleware CorsMiddleware

编辑 app/middleware/CorsMiddleware.php，handle 方法开头加入：

if ($request->isOptions()) {<br>  return response('', 204)<br>    ->header('Access-Control-Allow-Origin', $origin)<br>    ->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS')<br>    ->header('Access-Control-Allow-Headers', 'Authorization, Content-Type, X-Requested-With')<br>    ->header('Access-Control-Allow-Credentials', 'true');<br>}

$origin 需动态读取并校验白名单：

$origin = $request->header('origin');<br>$allowed = config('cors.allow_origins', []);<br>if (!in_array($origin, $allowed)) {<br>  return response('', 403);<br>}

将 \app\middleware\CorsMiddleware::class 加入 app/middleware.php 全局中间件数组首位，确保最早执行

使用 topthink/think-cors 插件（生产环境首选）

配置集中、自动适配生命周期，避免手写逻辑出错。

安装：composer require topthink/think-cors
配置文件 config/cors.php 中重点修改：
'paths' => ['api/*']（避免全站暴露）
'allowed_origins' => ['https://admin.example.com', 'http://localhost:5173']（带 credentials 时禁止写 ['*']）
确认 app/middleware.php 中已注册：
\think\middleware\AllowCrossDomain::class 在数组最前
插件会自动处理 OPTIONS 请求，无需额外判断

注意事项与常见陷阱

很多配置看似写了却无效，问题常出在细节上。

前端设了 credentials: 'include'，后端 Access-Control-Allow-Origin 就不能是 *，必须动态匹配 Origin 并显式设 Access-Control-Allow-Credentials: true
Nginx/Apache 若也配置了 CORS 响应头，必须关闭，否则出现重复头报错
中间件中设 header 必须操作 $response 对象，不能用 PHP 原生 header() 函数（TP8 使用 PSR-7 响应对象）
OPTIONS 请求必须返回 204 状态码、空响应体，不能返回 200 或带 JSON
若用 Swoole 或 Workerman，所有 header 操作必须通过 $response->header()，原生函数不生效

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！