PHP接口跨域CORS,Access-Control头部配置正确写法-php教程-PHP中文网

access-control-allow-origin 不能为 * 时启用 credentials，须动态校验 origin 白名单并设置 allow-credentials: true；options 预检需显式拦截返回 204；注意 bom、空格导致 header 失效。

php接口跨域cors,access-control头部配置正确写法

Access-Control-Allow-Origin 不能写 * 就完事

只要前端用了 fetch(..., { credentials: 'include' }) 或设置了 withCredentials = true，后端的 Access-Control-Allow-Origin 就绝不能是 *。浏览器会直接丢弃整个响应，连 200 状态都看不到，控制台只报“No 'Access-Control-Allow-Origin' header is present”。

正确做法是白名单校验 $_SERVER['HTTP_ORIGIN']，再动态回写：

确认该域名在可信列表里（如 ['https://admin.example.com', 'https://app.example.net']）
用 in_array($_SERVER['HTTP_ORIGIN'], $whitelist) 判断，匹配才输出 header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN'])
必须同时设置 header('Access-Control-Allow-Credentials: true')
如果 $_SERVER['HTTP_ORIGIN'] 为空（比如 curl 直调或某些代理），跳过 Origin 头设置，避免空值污染响应

OPTIONS 预检必须显式拦截并 exit

浏览器对带 Content-Type: application/json、Authorization 头，或用 PUT/DELETE 方法的请求，一定会先发 OPTIONS。PHP 不自动处理，漏掉就卡死——后续请求根本不会发出。

这段逻辑必须放在所有 header() 调用之前，且不能有任何输出：

Accessory Bundles

为多SKU配件店铺（如全系列手机壳、表带）设计交叉销售和捆绑结构。当用户提及捆绑销售时使用。

下载

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
header('HTTP/1.1 204 No Content');（推荐 204，无 body 更稳妥）
header('Access-Control-Allow-Origin: https://admin.example.com');（与主逻辑一致）
header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
exit;

header() 失效的隐蔽原因：BOM、空格、ob_start 干扰

“写了 header 却没生效”是高频问题，PHP 往往静默失败，不报错也不警告。

文件开头有 UTF-8 BOM 字节？用编辑器存为“UTF-8 无 BOM”格式
PHP 标签前有空格、换行、HTML 注释？确保 <?php 是文件第一个字符
脚本中提前 echo、var_dump、触发了 PHP Notice？加 headers_sent($file, $line) && die("Headers sent in $file:$line") 快速定位
用了 ob_start() 但没确认是否已 flush？上线前务必用 curl -I http://your-api.com/endpoint 直看响应头，别信浏览器 Network 面板缓存

Access-Control-Allow-Headers 必须列全前端实际发的头

预检失败常见原因是漏了某个自定义头。浏览器看到 Authorization 或 X-Api-Key，但 Access-Control-Allow-Headers 没包含它，就会直接拒绝。

检查方式很简单：

打开浏览器 DevTools → Network → 点开 OPTIONS 请求 → Headers → Request Headers → 看 “Request Headers” 下有哪些非标准字段
把这些字段原样写进 header('Access-Control-Allow-Headers: ...')，用英文逗号+空格分隔
常见必含项：Content-Type、Authorization、X-Requested-With；若前端用了 axios.defaults.headers.common['X-Token'] = 'abc'，就得加上 X-Token
注意大小写不敏感，但拼写必须完全一致

真正卡住人的不是“怎么配”，而是 header() 被悄无声息吞掉，或者 Origin 和 Credentials 冲突却查不到日志。上线前拿 curl -I 过一遍，比反复刷页面更可靠。