ThinkPHP 6 跨域应优先使用路由级 allowCrossDomain() 方法，仅对指定 API 路由生效；全局需自定义 Cors 中间件并显式处理 OPTIONS 预检请求，避免 405 错误；config/cors.php 非官方配置，无效。

ThinkPHP 6 路由级跨域设置：用 allowCrossDomain() 最直接

路由定义时加 allowCrossDomain() 是最轻量、最可控的方式，适合只对特定接口（比如 API 路由）开放跨域。它本质是给该路由绑定一个中间件，自动注入 Access-Control-Allow-Origin 等响应头。

常见错误是写在闭包路由里却忘了调用，或误以为它能覆盖全局配置 —— 实际上它优先级高于全局中间件，但仅作用于当前路由。

• 必须在 route/app.php 中定义路由后链式调用：->allowCrossDomain()
• 支持传参自定义来源：->allowCrossDomain(['http://localhost:3000', 'https://admin.example.com'])，不传则默认 *
• 若需携带 Cookie，得额外配：->allowCrossDomain(['https://example.com'], true)（第二个参数为 true 表示启用 credentials）
• 注意：该方法仅对 HTTP/HTTPS 路由生效，console 或 event 路由无效

ThinkPHP 6 全局跨域中间件：统一处理但需避开 OPTIONS 预检陷阱

在 app/middleware.php 或中间件类中添加跨域头看似简单，但极易因忽略 OPTIONS 预检请求而报错 405 Method Not Allowed 或浏览器静默失败。

真正可用的方案不是“加个 header 就完事”，而是要拦截并短路预检请求。

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

立即学习“PHP免费学习笔记（深入）”；

• 推荐新建中间件 app/middleware/CorsMiddleware.php，handle() 方法开头判断：if ($request->isOptions()) { return response()->code(204); }
• 再统一设置响应头：$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com');
• 务必显式设置 Access-Control-Allow-Methods 和 Access-Control-Allow-Headers，尤其当前端发 Content-Type: application/json 时，后者必须包含 Content-Type
• 不要在全局中间件里无条件设 Access-Control-Allow-Origin: * + credentials: true，这会直接被浏览器拒绝

为什么 config/cors.php 在 ThinkPHP 6 里基本没用？

ThinkPHP 官方并未内置 cors.php 配置文件，社区部分教程提到的这个文件，实际是 Laravel 的配置路径，直接照搬会导致 Class 'think\middleware\Cors' not found 错误。

有人手动创建该文件并试图在中间件中读取，但框架不会自动加载它 —— 所有跨域逻辑必须落在中间件代码或路由定义中。

• 不要新建 config/cors.php 并期待框架识别
• 如需配置化管理，可自己定义 config/cors.php 返回数组，然后在中间件中 config('cors') 读取，但这是自行扩展，非官方机制
• 更稳妥的做法是把白名单域名、是否允许 credentials 等抽成环境变量（.env），避免硬编码

调试跨域问题时，先看 Network 面板里的 Request Headers 和 Response Headers

很多问题根本不是代码没写对，而是浏览器缓存了旧的预检响应，或 Nginx/Apache 拦截了 OPTIONS 请求，导致根本没走到 PHP 层。

• 打开浏览器 DevTools → Network → 点开请求 → 查看 Response Headers 是否含 Access-Control-Allow-Origin
• 如果连 OPTIONS 请求都没出现在列表里，说明是 Web 服务器层拦截了，需检查 Nginx 配置是否有 limit_except 或未放行 OPTIONS
• 若看到 Failed to load resource: the server responded with a status of 404 (Not Found) 且请求方法是 OPTIONS，大概率是路由没匹配上，需确认是否启用了多应用模式导致路由分组错位
• 后端日志里完全看不到 OPTIONS 请求的记录？那基本可以确定请求没到 PHP，别再改 ThinkPHP 代码了