ThinkPHP 6 的 CorsMiddleware 未生效，主因是未正确注册为全局或路由中间件、执行顺序错误、提前终止响应、allowCredentials为true时allowHeaders或Origin配置不当、OPTIONS预检未处理，或Nginx未透传请求头。
ThinkPHP 6 的 CorsMiddleware 为什么没生效
中间件注册了但浏览器仍报 CORS header 'Access-Control-Allow-Origin' missing，大概率是中间件没跑到请求链路里。ThinkPHP 6 默认只对 HTTP 请求中间件生效，而 CorsMiddleware 必须显式注册在全局中间件或路由分组中，且顺序不能错——它得在所有业务逻辑之前执行，否则响应头根本来不及加。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 检查
app/middleware.php是否已将think\middleware\Cors加入全局中间件数组（注意不是CorsMiddleware类名，官方类名就是Cors） - 若用路由分组，需在
route/app.php中调用->middleware(\think\middleware\Cors::class)，不能只写字符串'cors'（除非你手动绑定了别名） - 确认没在控制器里提前
return json()或exit——这会让中间件链中断，Header 就丢了
自定义 Header 时 Access-Control-Allow-Headers 被忽略
前端发了 X-Auth-Token 请求头，后端配了 allowHeaders 却还是报错 Request header field x-auth-token is not allowed by Access-Control-Allow-Headers，问题出在 ThinkPHP 对通配符 * 的处理逻辑上：当设置了 allowCredentials => true 时，Access-Control-Allow-Headers 不允许用 *，必须明确列出字段。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 不要写
'allowHeaders' => ['*']，改用'allowHeaders' => ['Content-Type', 'X-Auth-Token', 'Authorization'] - 如果前端用了自定义 header，就得全列出来，漏一个都不行；大小写要和前端实际发送的一致（HTTP header 不区分大小写但框架校验有时敏感）
-
allowCredentials设为true时，Access-Control-Allow-Origin也不能是*，必须指定具体域名，比如'http://localhost:3000'
POST 请求跨域失败，但 GET 正常
GET 请求能过，一发 POST 就卡在预检（OPTIONS）阶段，控制台显示 404 或 500，说明预检请求没被正确路由到。ThinkPHP 默认不自动处理 OPTIONS 方法，尤其当路由是闭包或资源路由时，容易漏掉对 OPTIONS 的支持。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在对应路由定义里显式加上
->allowCrossDomain()（TP6.1+）或手动补一条 OPTIONS 路由：Route::options('/api/user', function () { return ''; }); - 检查是否启用了
AppDebug模式，某些环境（如 Nginx + PATH_INFO）下，OPTIONS 请求可能被 Web 服务器直接拦截，压根没进框架 - 用
curl -X OPTIONS -I http://yourdomain.com/api/user看响应头是否含Access-Control-Allow-Methods，没有就说明中间件或路由没生效
部署到 Nginx 后跨域 Header 全部消失
本地开发一切正常，上线后所有 CORS 头都没了，连最基础的 Access-Control-Allow-Origin 都不出现。这不是 PHP 层的问题，而是 Nginx 把响应头给过滤了——特别是当配置了 fastcgi_pass 但没透传 header 时。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在 Nginx 的
location ~ \.php$块里加一行：fastcgi_pass_request_headers on; - 确认没配置
underscores_in_headers off;（如果用了带下划线的 header 名，如X_Api_Key，需要设为on） - 避免在 Nginx 层重复设置 CORS header（比如加了
add_header Access-Control-Allow-Origin "*";），会和 PHP 层冲突，导致部分 header 被覆盖或拒绝
跨域真正的麻烦点不在代码怎么写，而在「谁在加 header、谁在删 header、谁又在拦请求」——PHP、中间件、Web 服务器、CDN、反向代理，每一层都可能悄悄动你的头信息。
