必须启用mod_headers模块并重启Apache，再用Header指令设置CORS头，且需处理OPTIONS预检请求；.htaccess配置受限于AllowOverride设置且无法响应OPTIONS正文。
确认 mod_headers 模块已启用
Apache 默认不启用 mod_headers，没它就无法用 Header 指令设置 CORS 头。先检查是否已加载：
apache2ctl -M | grep headers（Debian/Ubuntu）或 httpd -M | grep headers（RHEL/CentOS）
如果无输出，说明未启用，需执行：
-
sudo a2enmod headers（Debian/Ubuntu） - 或在
httpd.conf中取消注释：LoadModule headers_module modules/mod_headers.so（RHEL/CentOS） - 改完必须重启：
sudo systemctl restart apache2或sudo systemctl restart httpd
不重启，配置永远不生效——这是最常被跳过的一步。
用 Header 指令添加核心 CORS 响应头
CORS 行为由一组固定响应头控制，必须成对出现、语义明确。推荐在 <VirtualHost> 或 <Directory> 块中写入：
<IfModule mod_headers.c> Header always set Access-Control-Allow-Origin "https://your-frontend.com" Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS" Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" Header always set Access-Control-Allow-Credentials "true" Header always set Access-Control-Max-Age "86400" </IfModule>
注意几个关键点：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
Access-Control-Allow-Origin不能和Access-Control-Allow-Credentials: true同时设为"*"，否则浏览器直接拒绝；生产环境务必写具体域名 -
Header always set比Header set更稳妥，确保预检请求（OPTIONS）也能带上头 -
Access-Control-Allow-Headers必须包含前端实际发送的自定义头，比如X-Requested-With或X-Auth-Token，漏一个就会触发预检失败
必须处理 OPTIONS 预检请求
带 Authorization、Content-Type: application/json 或自定义 header 的请求，浏览器会先发一个 OPTIONS 请求探测权限。Apache 默认不响应它，导致跨域卡死。
两种可靠做法：
- 用
mod_rewrite直接返回 200：RewriteEngine OnRewriteCond %{REQUEST_METHOD} OPTIONSRewriteRule ^(.*)$ $1 [R=200,L] - 或更轻量：在同个
<Directory>块里加一行：Require all granted（确保 OPTIONS 不被访问控制拦截）
别依赖“前端只发简单请求”这种假设——开发阶段一切正常，上线后加个 header 就崩，就是没处理 OPTIONS 的典型表现。
通过 .htaccess 配置的限制与风险
若只能用 .htaccess（如共享主机），配置本身和主配置一致，但有两个硬性前提：
-
AllowOverride必须设为All，否则Header指令被忽略；检查对应<Directory>块里是否有：AllowOverride All -
.htaccess无法处理 OPTIONS 请求的响应体（只管头），所以仍需配合mod_rewrite规则返回 200
另外，.htaccess 是运行时解析，性能略低；且一旦路径层级深、规则多，容易因继承顺序错乱导致 CORS 头重复或丢失——调试时用浏览器 DevTools 的 Network → Response Headers 看真实返回，别信配置文件写了就一定生效。
