ThinkPHP6.0.16接口跨域问题处理教程-ThinkPHP-PHP中文网

thinkphp 6.0.16 跨域需通过自定义 cors 中间件（首位注册、拦截 options 并动态设 origin 白名单）、路由级 allowcrossdomain()、控制器 response()->header() 或 nginx 层配置四类方式解决，其中中间件最稳可靠。

thinkphp6.0.16接口跨域问题处理教程

ThinkPHP 6.0.16 默认不开启跨域支持，前端（如 Vue、UniApp、React）发起请求时若域名、协议或端口不同，浏览器会拦截并报错 No 'Access-Control-Allow-Origin' header。解决核心是让服务端在响应中正确返回 CORS 相关 HTTP 头，且必须覆盖预检（OPTIONS）请求。以下是实测有效的几种方式，按推荐度排序。

用自定义 Cors 中间件统一处理（最稳、推荐）

这是 TP6.0.16 最可靠的方式，能覆盖所有路由，避免 header 被框架覆盖，也兼容带 cookie 或 token 的复杂请求。

执行命令生成中间件：php think make:middleware CorsMiddleware
编辑 app/middleware/CorsMiddleware.php，完整替换 handle 方法：

php
namespace app\middleware;

use think\Request;
use think\Response;
use Closure;

class CorsMiddleware
{
    public function handle(Request $request, Closure $next): Response
    {
        // 拦截 OPTIONS 预检请求，直接返回 204
        if ($request->isOptions()) {
            return response('', 204);
        }

        $response = $next($request);
        // 动态获取 Origin，允许指定白名单或 localhost
        $origin = $request->header('origin');
        $allowedOrigins = ['https://your-fe.com', 'http://localhost:3000', 'http://127.0.0.1:8080'];
        $accessOrigin = in_array($origin, $allowedOrigins) ? $origin : '*';

        return $response->header([
            'Access-Control-Allow-Origin' => $accessOrigin,
            'Access-Control-Allow-Credentials' => 'true',
            'Access-Control-Allow-Methods' => 'GET, POST, PUT, DELETE, OPTIONS',
            'Access-Control-Allow-Headers' => 'Content-Type, Authorization, X-Requested-With, token'
        ]);
    }
}

在 app/middleware.php 全局中间件数组**首位**注册：
\app\middleware\CorsMiddleware::class（确保它最先执行）
注意：Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials: true 必须同时存在且 Origin 不能为 *，否则浏览器拒绝响应

路由级 allowCrossDomain()（适合局部接口）

只对某几个 API 路由生效，侵入性低，适合测试或灰度发布场景。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

打开 route/app.php，在目标路由定义后链式调用：
Route::post('/login', 'LoginController@login')->allowCrossDomain(['http://localhost:3000'], true);
传入域名数组可允许多个来源；第二个参数 true 表示启用凭证（即支持 Cookie 或 Authorization）
该方法会自动处理 OPTIONS，无需额外写逻辑，但不适用于 console 命令或事件路由

控制器内手动设置 header（仅应急，慎用）

不推荐长期使用，容易因输出顺序或框架响应机制导致 header 失效（比如已输出内容后再设 header 会报错）。

必须用 response()->header()，不能用原生 header() 函数
示例：
return json(['code'=>0, 'msg'=>'ok'])->header('Access-Control-Allow-Origin', 'http://localhost:3000')->header('Access-Control-Allow-Credentials', 'true');
务必放在 return 语句最前，不能出现在 dump()、echo 或日志输出之后

Nginx 层配置（绕过 PHP，适合生产环境）

如果项目部署在 Nginx 上，可在服务器配置中统一加头，性能更好，也避免 PHP 层逻辑干扰。

在 server 或 location 块中添加：

add_header 'Access-Control-Allow-Origin' 'https://your-fe.com';
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS';
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With, token';

if ($request_method = 'OPTIONS') {
    add_header 'Access-Control-Max-Age' 1728000;
    add_header 'Content-Type' 'text/plain; charset=UTF-8';
    add_header 'Content-Length' 0;
    return 204;
}