ThinkPHP部署后CORS跨域解决-ThinkPHP-PHP中文网

thinkphp跨域问题需服务端正确返回cors响应头并处理options预检请求，推荐路由级allowcrossdomain()、自定义corsmiddleware中间件或nginx层add_header三类方案，注意凭据支持、origin动态匹配及常见失效排查。

thinkphp部署后cors跨域解决

ThinkPHP部署后出现CORS跨域问题，核心是服务端未在HTTP响应中正确返回浏览器认可的跨域头，且未妥善响应OPTIONS预检请求。生产环境不能依赖开发阶段的临时写法，必须确保响应头稳定、时机准确、策略安全。

只对实际需要跨域的接口生效，不影响后台、命令行等其他路由，最轻量也最可控。

在 route/app.php 中定义 HTTP 路由时，链式调用 ->allowCrossDomain()，例如：
Route::post('api/login', 'Api/Login@login')->allowCrossDomain(['https://admin.example.com', 'http://localhost:3000'], true);
启用凭据（如 Cookie 或 Authorization）时，第一个参数必须是明确域名数组，绝不能含 *；第二个参数设为 true 才会添加 Access-Control-Allow-Credentials: true
确认该路由属于 HTTP 类型——console、event、rpc 路由不支持此方法

这是TP6/8生产环境最稳定的方式，能统一拦截OPTIONS、动态匹配Origin、避免响应头被覆盖。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

执行命令生成中间件：php think make:middleware CorsMiddleware
编辑 app/middleware/CorsMiddleware.php，在 handle() 开头拦截 OPTIONS：
if ($request->isOptions()) { return response('', 204); }
在 $response = $next($request) 后设置响应头，注意顺序：
$response->header('Access-Control-Allow-Origin', $request->header('origin') ?: 'https://your-frontend.com');
$response->header('Access-Control-Allow-Credentials', 'true');
$response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
$response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With');
将 \app\middleware\CorsMiddleware::class 添加到 app/middleware.php 的数组首位，确保最早执行、最晚结束

当PHP层配置受限（如共享主机、Swoole环境），或需与CDN/反向代理协同时，直接在Web服务器层注入响应头更可靠。

在对应 server 或 location 块中添加：
add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;
必须加 always 参数，否则Nginx默认不给 204/4xx 响应加头，导致OPTIONS失败
若需支持多个前端域名，可配合 map 指令动态匹配 Origin，避免硬编码
确保 Nginx 透传原始 Origin 头：不使用 proxy_set_header Origin "" 类清空操作

很多配置看似写了却无效，往往卡在细节上：

OPTIONS 返回 405：检查 app/config/app.php 中 'method_filter' => false，或把 OPTIONS 加入白名单数组
带 Cookie 请求失败：前后端必须同步——前端 fetch 配 credentials: 'include'，后端不能设 Access-Control-Allow-Origin: *，且 session 配置中 'domain' 要匹配主域（如 '.example.com'）
响应头没生效：用 curl -X OPTIONS -I http://yoursite.com/api/test 直接看真实响应头，绕过浏览器缓存和界面干扰
中间件不执行：确认它注册在 app/middleware.php 数组首位，且类路径完全正确（含命名空间）

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！