OPTIONS请求返回405是因为服务端未正确处理预检请求，PHP默认不响应、Web服务器未配置路由或CORS头、框架中间件跳过OPTIONS、或Nginx/Apache提前拦截所致。
为什么 OPTIONS 请求返回 405？
405 错误出现在浏览器发起跨域请求时的预检阶段，本质是服务端拒绝了 OPTIONS 方法。PHP 默认不处理 OPTIONS 请求，Apache/Nginx 也通常未配置对应路由或响应头，导致服务器直接返回 405 Method Not Allowed。
常见诱因包括：
- PHP 脚本未显式响应
OPTIONS请求（比如只写了if ($_SERVER['REQUEST_METHOD'] === 'POST')） - Nginx/Apache 没有为
OPTIONS设置200状态码和必要 CORS 头 - PHP-FPM 或 Web 服务器拦截了
OPTIONS，未转发给 PHP - 某些框架（如 Laravel、ThinkPHP）的中间件或路由规则默认跳过
OPTIONS
PHP 中如何正确响应预检请求
必须在入口脚本（如 index.php）或全局中间件中提前拦截 OPTIONS 并立即返回，不能走后续业务逻辑。
最小可行代码示例：
立即学习“PHP免费学习笔记（深入）”；
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
header('Access-Control-Allow-Origin: https://your-frontend.com');
header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
header('Access-Control-Allow-Credentials: true');
header('Access-Control-Max-Age: 86400');
exit(0);
}
注意要点：
-
Access-Control-Allow-Origin不能设为*同时又开启Access-Control-Allow-Credentials: true -
Access-Control-Allow-Headers必须包含前端实际发送的自定义头（如Authorization） - 务必调用
exit()或die()，避免后续代码执行 - 如果使用
$_SERVER['HTTP_ORIGIN']动态设置来源，需先校验白名单，防止通配
Nginx 和 Apache 的预检配置补漏
即使 PHP 层写了 OPTIONS 响应，Web 服务器仍可能提前拦截。需确认是否被 rewrite 规则或安全模块阻断。
Nginx 推荐配置（放在 location 块内）：
if ($request_method = 'OPTIONS') {
add_header Access-Control-Allow-Origin "https://your-frontend.com";
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With";
add_header Access-Control-Allow-Credentials "true";
add_header Access-Control-Max-Age "86400";
add_header Content-Length 0;
add_header Content-Type text/plain;
return 204;
}
Apache 需确保启用了 mod_headers 和 mod_rewrite，并在 .htaccess 或虚拟主机配置中加入：
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
然后配合 Header set 指令添加 CORS 头 —— 单靠 Header always set 不足以覆盖预检场景。
调试时容易忽略的细节
405 故障常卡在“以为 PHP 搞定了，其实 Web 服务器没放行”。排查顺序建议从外到内：
- 用
curl -X OPTIONS -I http://your-api.com/xxx直接测试，看响应头和状态码是否来自 PHP 还是 Web 服务器 - 检查 Nginx error log 是否有
rewrite or internal redirection cycle类报错 - 确认 PHP 的
getallheaders()在 CLI 模式下不可用，但预检请求中$_SERVER['REQUEST_METHOD']是可靠的 - 某些 CDN（如 Cloudflare）会缓存
OPTIONS响应，临时关闭缓存再试 - 如果 API 路由带版本前缀（如
/v1/users），确保所有层级都覆盖了OPTIONS处理逻辑
最麻烦的情况是：Nginx 把 OPTIONS 当作静态资源请求，匹配到了 try_files 规则并返回了 405 —— 这时候得在 location 块里单独处理方法判断，而不是依赖后端兜底。
