ThinkPHP5.1跨域设置入门教程-ThinkPHP-PHP中文网

thinkphp 5.1跨域设置有路由级、中间件和控制器内三种方式：路由级用→allowcrossdomain()最简；中间件需处理options预检并设响应头；控制器内需手动header()且不可用原生header函数；注意credentials与*不能共存、自定义头须显式声明、预检必须正确响应。

thinkphp5.1跨域设置入门教程

ThinkPHP 5.1 跨域设置其实不难，关键选对方法、避开常见坑。开发时前端（比如 Vue、uni-app 或小程序本地调试）和后端不在同一域名或端口，浏览器就会拦截请求，报错类似 “No 'Access-Control-Allow-Origin' header is present”。只要在服务端正确返回几个响应头，问题就解决了。

路由级配置：最简单、推荐新手起步用

这是 TP5.1 原生支持的方式，不用写额外类，改一行路由代码就能生效，适合快速验证或只开放个别接口。

打开 route/route.php（或 route/api.php，如果你已启用 API 分组）
在你要跨域的路由定义末尾加 ->allowCrossDomain()，例如：
Route::get('api/user/info', 'api/User/info')->allowCrossDomain();
默认允许所有来源（Access-Control-Allow-Origin: *），安全项目建议指定域名：
->allowCrossDomain(['https://admin.example.com', 'http://localhost:8080'])
如果前端要带 Cookie 或 token，必须开启凭据并指定具体域名（不能用 *）：
->allowCrossDomain(['https://admin.example.com'], true)

中间件统一处理：适合全站 API 接口

比路由方式更规范，便于维护，尤其当你有几十个 API 接口时，不用每个都加一遍。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

执行命令生成中间件：php think make:middleware CorsMiddleware
编辑 app/middleware/CorsMiddleware.php，在 handle() 方法中写入：
if ($request->isOptions()) { return response('', 204); }
这一步必须有，否则 OPTIONS 预检会失败，导致 405 错误
在 $next($request) 返回前设置响应头：
$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com');
$response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
$response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With, token');
把中间件加到 app/middleware.php 的全局数组首位，确保它最先执行

控制器内手动设置：临时调试或特殊接口用

适合只给某个方法开跨域，或需要动态判断来源（比如根据请求头切换允许域名）。

在控制器方法开头，用 response()->header() 设置头信息，例如：

$response = response()->json(['code'=>0, 'data'=>[]]);<br>$response->header('Access-Control-Allow-Origin', '*');<br>$response->header('Access-Control-Allow-Methods', 'GET, POST');<br>return $response;

注意：不能用原生 header() 函数，TP5.1 的输出流程已接管响应，直接调用可能被忽略或报错
如果该方法要处理 OPTIONS 预检，也得单独判断并返回空响应（状态码 204）

避坑提醒：这几个细节最容易出错

很多配置看似写了却无效，往往卡在这几处：

Access-Control-Allow-Origin 和 credentials 不能共存于 *：一旦设了 Access-Control-Allow-Credentials: true，Origin 就必须是具体域名，不能是 *
自定义请求头（如 token）必须显式声明：除了 Allow-Headers 要包含 token，前端 fetch 里也得写 credentials: 'include' 或 headers: {'token': 'xxx'}
预检请求（OPTIONS）没被正确响应：浏览器先发 OPTIONS，若后端没返回 200/204 + 正确头，后续真实请求根本不会发出
配置位置错误：比如把 header() 写在 public/index.php 里，但框架已启动并准备输出，此时再设 header 已失效

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！