Node.js代理PHP接口时CORS错误的根源是浏览器将不同端口的localhost视为跨域，需在Node.js层统一配置CORS头（如用express-cors中间件）或在代理中透传响应头，避免直接修改PHP；预检请求失败常因PHP未处理OPTIONS方法或缺失对应响应头。
Node.js 作为前端代理时 PHP 接口报 CORS 错误
直接访问 Node.js 启动的本地服务（如 http://localhost:3000）去请求同机器上的 PHP 接口（如 http://localhost/api.php），浏览器控制台报 Access to fetch at 'http://localhost/api.php' from origin 'http://localhost:3000' has been blocked by CORS policy——这不是 PHP 没配好，而是浏览器把两次 localhost 视为不同源（端口不同即跨域）。Node.js 这边没做代理转发或响应头透传，就会暴露原始 PHP 的响应头缺失问题。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 优先在 Node.js 层统一加 CORS 头，而非改 PHP —— 避免污染后端逻辑，也方便开发/测试环境快速切换
- 用
cors中间件最省事：npm install cors
，然后在 Express 初始化后立即 use：const cors = require('cors');<br>app.use(cors()); - 若需精细控制（比如只允许特定域名、带 cookie），改用对象配置：
app.use(cors({<br> origin: 'http://localhost:3000',<br> credentials: true<br>})); - 注意：如果 Node.js 只是静态文件服务器（如
serve或原生http.createServer），它不支持中间件，必须手动写res.setHeader，否则cors()不生效
PHP 原生脚本漏加 Access-Control-Allow-Origin 导致预检失败
当 Node.js 代理转发 POST 请求且含自定义 header（如 X-Auth-Token）或 Content-Type 为 application/json 时，浏览器会先发 OPTIONS 预检。此时若 PHP 脚本没处理 OPTIONS 方法，或没返回 Access-Control-Allow-Origin、Access-Control-Allow-Methods 等头，就卡在预检阶段，Network 面板里看不到后续 POST 请求。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在 PHP 文件开头加这几行（顺序不能错，且必须在任何输出之前）：
header('Access-Control-Allow-Origin: *');<br>header('Access-Control-Allow-Methods: GET, POST, OPTIONS');<br>header('Access-Control-Allow-Headers: Content-Type, X-Auth-Token');<br>if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {<br> exit(0);<br>} - 不要用
*配合credentials: true—— 浏览器会直接拒绝，必须指定具体域名，如http://localhost:3000 - 确保没有空格、BOM 或
echo在header()前输出，否则报Cannot modify header information - 如果用 Nginx/Apache 托管 PHP，也可以在 Web 服务器层统一加头，比改每个 PHP 文件更安全
Express 代理 PHP 接口时未透传响应头
用 http-proxy-middleware 把 /api/ 代理到 PHP 服务，但浏览器仍报 CORS —— 很可能代理默认没透传 PHP 返回的 Access-Control-* 头，或者代理本身返回了不含 CORS 的响应。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 显式开启
onProxyRes回调，手动补全或透传关键头：app.use('/api/', createProxyMiddleware({<br> target: 'http://localhost:8000',<br> changeOrigin: true,<br> onProxyRes: (proxyRes, req, res) => {<br> if (proxyRes.headers['access-control-allow-origin'] === undefined) {<br> res.setHeader('Access-Control-Allow-Origin', '*');<br> }<br> }<br>})); -
changeOrigin: true必须设，否则 PHP 收到的Host头还是localhost:3000，可能触发某些 PHP 框架的域名校验失败 - 避免在代理配置里重复加
cors()中间件——代理已处理跨域，再加一层可能引发头冲突（比如两个Access-Control-Allow-Origin）
Chrome 插件或本地文件协议绕过 CORS 不代表真实可用
用 --disable-web-security 启动 Chrome，或把 HTML 拖进浏览器以 file:// 协议打开，CORS 报错消失——但这只是禁用了浏览器沙箱，和真实部署场景完全脱节。线上用户不会关安全策略，Nginx 也不会帮你加头。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 开发阶段务必用
http://localhost（哪怕只是npx http-server）跑前端，而不是双击打开 HTML - CI/CD 构建产物前，检查所有 API 调用是否走同源或已配好代理，别依赖本地调试时的“看起来能通”
- 真要验证 PHP 侧头是否生效，直接
curl -I http://localhost/api.php看响应头，比看浏览器 Network 更可靠
catch，只在 Network 面板里显示 204 或 405，然后后续请求根本不出发。盯住第一个 OPTIONS 请求的响应头和状态码，比反复刷页面更有用。 
