php创建虚拟目录跨域处理_CORS配置说明-php教程-PHP中文网

PHP不创建虚拟目录，跨域需通过设置CORS响应头解决；必须在脚本开头用header()设置Access-Control-Allow-Origin等头，并拦截OPTIONS预检请求返回204，禁用框架method_filter，生产环境应动态校验Origin白名单。

php创建虚拟目录跨域处理_cors配置说明

PHP本身不创建“虚拟目录”，所谓虚拟目录是Web服务器（如Nginx或Apache）的配置概念；PHP只负责处理请求并输出响应头。跨域问题的根源在浏览器同源策略，解决核心是正确设置CORS响应头，并确保预检请求（OPTIONS）被及时响应——不是靠目录映射，而是靠HTTP头与请求流程控制。

最直接有效的方式是在每个接口脚本（或统一入口如index.php、API路由分发处）顶部添加header()调用，且必须早于任何输出（包括空格、BOM、echo、HTML）：

允许指定前端域名：header('Access-Control-Allow-Origin: https://your-app.com');
允许多个方法：header('Access-Control-Allow-Methods: GET, POST, OPTIONS, PUT, DELETE');
声明前端实际发送的请求头：header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
如需传Cookie或Token，必须开启凭证支持：header('Access-Control-Allow-Credentials: true');此时Access-Control-Allow-Origin不能为*，必须写具体域名。

浏览器对非简单请求（如带Authorization头、Content-Type为application/json、使用PUT/DELETE等）会先发OPTIONS请求。若PHP不拦截并快速返回200/204，真实请求根本不会发出：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

在脚本最开始加判断：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { http_response_code(204); exit; }
不要写成return或echo ''后继续执行，必须exit或die终止流程
ThinkPHP等框架需禁用method_filter，或把OPTIONS加入白名单，否则框架自身会直接返回405

硬编码* 或固定域名存在安全风险或灵活性不足。可结合白名单做简单校验：

定义允许的来源数组：$allowed_origins = ['https://admin.example.com', 'https://app.example.com'];
获取当前请求头：$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
匹配后设置：if (in_array($origin, $allowed_origins)) { header("Access-Control-Allow-Origin: $origin"); }
同时仍需设置Access-Control-Allow-Credentials: true和其它配套头