PHP跨域问题可通过五种方法解决：一、header()全局开放（开发用）；二、白名单动态匹配（生产推荐）；三、Nginx/Apache服务器层配置；四、PHP代理中转绕过；五、启用凭证支持处理带Cookie请求。
如果您在前端通过Ajax或Fetch调用PHP后端接口时遭遇请求被浏览器拦截、控制台显示“CORS header ‘Access-Control-Allow-Origin’ missing”等错误，则说明PHP服务未正确响应跨域资源共享请求。以下是处理该问题的多种方法：
一、使用header()函数全局开放跨域（开发环境适用）
该方法通过在PHP脚本最顶部直接输出CORS响应头，使浏览器识别并允许来自任意源的请求。适用于本地调试或内部测试场景，但因安全性限制不适用于生产环境。
1、在PHP文件开头添加以下三行header语句，确保位于任何echo、print或HTML输出之前。
2、判断当前请求是否为OPTIONS方法，若是则立即返回HTTP状态码200并终止脚本执行。
立即学习“PHP免费学习笔记（深入）”；
3、继续执行原有业务逻辑，如数据库查询或JSON数据输出。
二、按白名单动态匹配指定域名（生产环境推荐）
该方法通过读取预设的可信域名数组，比对请求头中的Origin字段，仅对匹配成功的来源设置对应Access-Control-Allow-Origin值，避免通配符带来的安全风险，同时支持携带Cookie的跨域请求。
1、定义允许跨域访问的域名列表，例如['https://admin.example.com', 'https://app.example.org']。
2、从$_SERVER['HTTP_ORIGIN']中提取发起请求的实际源地址。
3、若该源存在于白名单中，则调用header("Access-Control-Allow-Origin: $origin")并附加Access-Control-Allow-Credentials: true头。
4、统一设置Access-Control-Allow-Methods与Access-Control-Allow-Headers，覆盖常用请求类型与头部字段。
三、在Web服务器层统一配置CORS（减少代码侵入）
将CORS策略从PHP应用逻辑中剥离，交由Nginx或Apache在响应前注入标准头信息，可提升性能一致性，并便于集中管理与缓存控制。
1、在Nginx配置块中添加add_header Access-Control-Allow-Origin "https://trusted-site.com";指令。
2、配置add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";以声明支持的方法集合。
3、添加add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With";。
4、针对OPTIONS请求，使用if ($request_method = 'OPTIONS') { return 204; }快速响应预检请求。
四、后端代理模式绕过浏览器同源策略
该方式不依赖CORS机制，而是让前端向同源下的PHP接口发起请求，再由PHP在服务端以cURL等方式调用目标第三方API，最后将结果原样返回给前端，彻底规避跨域限制。
1、创建一个PHP中转脚本，如/proxy/external-api.php。
2、使用curl_init()初始化连接，设置目标URL、超时时间及SSL验证选项。
3、通过curl_setopt_array()配置POST数据、请求头及返回原始响应体参数。
4、执行cURL请求，捕获响应状态码与内容，使用http_response_code()透传状态，并输出响应体。
五、启用凭证支持并处理带Cookie的跨域请求
当跨域请求需携带用户登录态（如Session Cookie）时，必须同时满足客户端设置credentials: 'include'与服务端显式声明允许凭证，且Access-Control-Allow-Origin不可为通配符*。
1、在PHP中设置header("Access-Control-Allow-Credentials: true");。
2、确保Access-Control-Allow-Origin值为具体协议+域名+端口格式，例如https://client.example.com。
3、前端发起Fetch请求时，必须包含credentials: 'include'选项。
4、检查PHP会话配置，确认session.cookie_samesite未设为Strict或Lax导致Cookie被拒绝发送。
