TP6中间件CORS失效主因是手动header()被覆盖，须通过Response对象设置且确保中间件前置；若带Credentials则Access-Control-Allow-Origin不能为*，需动态匹配白名单域名。
ThinkPHP 6 中间件配置 CORS 失效的常见原因
直接在中间件里写 header('Access-Control-Allow-Origin: *') 大概率没用——TP6 的响应对象是封装过的，手动 echo 或 header() 调用会被后续响应流程覆盖。
正确做法是通过 Response 对象注入头信息，且必须确保中间件执行顺序在路由和控制器之前。常见踩坑点：
- 中间件未注册到全局或对应分组（检查
app/middleware.php或路由分组的middleware配置） - 用了
return $next($request)但没对返回的Response实例调用header()方法 - 前端请求带了
Credentials（如 cookie），但后端只设了*，必须指定具体域名且不能省略Access-Control-Allow-Credentials: true
如何用 TP6 原生中间件正确设置跨域头
推荐在 app/middleware.php 中定义一个闭包中间件，或新建类中间件（如 app/middleware/CorsMiddleware.php），核心是操作 $response 对象：
<?php
// app/middleware/CorsMiddleware.php
class CorsMiddleware
{
public function handle($request, \Closure $next)
{
$response = $next($request);
// 允许指定源（开发可设为 *，生产务必改）
$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com');
$response->header('Access-Control-Allow-Credentials', 'true');
$response->header('Access-Control-Allow-Methods', 'GET,POST,PUT,DELETE,OPTIONS');
$response->header('Access-Control-Allow-Headers', 'Content-Type,Authorization,X-Requested-With');
return $response;
}
}
注意：如果前端发的是预检请求（OPTIONS），TP6 默认不会进控制器，但中间件仍会执行；上面代码已覆盖该场景。不需要额外拦截 OPTIONS 并 exit。
立即学习“PHP免费学习笔记（深入）”；
为什么用 Access-Control-Allow-Origin: * + Credentials 会报错
浏览器明确禁止：当请求携带凭证（withCredentials: true）时，Access-Control-Allow-Origin 不能为通配符 *，否则控制台报错 The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'。
解决方案只有两个：
- 前端去掉
credentials（不推荐，登录态无法传递） - 后端动态读取
Origin请求头，白名单校验后精确回写（TP6 示例）：
$origin = $request->header('Origin');
$allowed = ['https://your-frontend.com', 'https://staging.example.com'];
if ($origin && in_array($origin, $allowed)) {
$response->header('Access-Control-Allow-Origin', $origin);
$response->header('Access-Control-Allow-Credentials', 'true');
}
TP6.3+ 版本中 think-middleware 扩展的兼容性问题
有人尝试用社区版 think-middleware 的 Cors 类，但 TP6.3+ 已移除对 think\facade\Request 的部分静态调用支持，直接 new 类会因依赖注入失败而报 Cannot resolve argument $config of class think\middleware\Cors。
更稳妥的做法是绕过扩展，自己写轻量中间件。如果坚持用扩展：
- 确认 Composer 安装的是适配 TP6.3+ 的版本（如
v2.0.4+） - 不要用
new \think\middleware\Cors()，改用容器获取：app()->make(\think\middleware\Cors::class) - 注意其默认不开启
credentials支持，需显式传参：['supportsCredentials' => true]
实际项目里，三五行手写的中间件比引入一个半维护的扩展更可控，尤其当只需要基础跨域时。
