跨域请求被拦截是因浏览器同源策略阻止响应，PHP后端未正确配置CORS头所致；可通过PHP脚本、Apache .htaccess、Laravel中间件、ThinkPHP事件监听或CodeIgniter类重写五种方法解决。
如果您在前端发起请求时收到“跨域请求被拦截”错误，通常是由于浏览器的同源策略阻止了来自不同源的HTTP响应。PHP后端未正确设置CORS（跨域资源共享）相关响应头是主要原因。以下是多种可立即生效的配置方法：
一、在PHP脚本中直接设置响应头
此方法适用于无框架或轻量级项目，通过在脚本最顶端插入header()调用，强制注入CORS头部，确保浏览器识别为合法跨域响应。
1、确认PHP文件以<?php开头，且此前无任何空白、BOM字符或输出。
2、添加允许任意源访问的基础配置（仅限开发环境）：header("Access-Control-Allow-Origin: *");header("Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS");header("Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With");
立即学习“PHP免费学习笔记（深入）”；
3、单独处理OPTIONS预检请求：在脚本开头加入判断逻辑，若请求方法为OPTIONS，则立即返回200并终止执行：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { http_response_code(200); exit(); }
4、若需支持携带Cookie或Authorization凭证，必须将Access-Control-Allow-Origin设为具体域名，例如https://your-frontend.com，并追加header("Access-Control-Allow-Credentials: true");
二、通过Apache .htaccess文件统一配置
此方法绕过PHP代码层，在Web服务器响应阶段注入CORS头，适用于多PHP文件共用同一策略的部署场景，且避免因PHP输出顺序导致headers already sent错误。
1、进入网站根目录，确认启用mod_headers模块；若使用共享主机，联系服务商确认是否开启。
2、创建或编辑.htaccess文件，在其中写入以下指令：Header always set Access-Control-Allow-Origin "https://your-frontend.com"
3、设置允许的方法与请求头：Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE"Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"
4、为带凭证的请求启用支持：Header always set Access-Control-Allow-Credentials "true"
5、确保Vary: Origin头存在以防止缓存混淆：Header always set Vary "Origin"
三、在Laravel框架中注册全局CORS中间件
此方法利用Laravel的HTTP中间件机制，在请求生命周期统一注入响应头，避免在每个控制器中重复编写CORS逻辑，同时支持动态Origin校验。
1、执行命令生成中间件：php artisan make:middleware CorsMiddleware
2、编辑app/Http/Middleware/CorsMiddleware.php，在handle方法中添加：return $next($request)->withHeaders(['Access-Control-Allow-Origin' => $this->getAllowedOrigin($request),'Access-Control-Allow-Methods' => 'GET, POST, PUT, DELETE, OPTIONS','Access-Control-Allow-Headers' => 'Content-Type, Authorization, X-Requested-With','Access-Control-Allow-Credentials' => 'true',]);
3、在getAllowedOrigin方法中实现白名单校验逻辑，仅当$_SERVER['HTTP_ORIGIN']匹配预设数组时返回该Origin值，否则返回null或空字符串。
4、将中间件注册至app/Http/Kernel.php的$middlewareGroups['api']数组中。
5、对OPTIONS请求提前响应：在中间件handle开头添加判断，若为OPTIONS则直接返回空响应并设置状态码200。
四、在ThinkPHP 6.x中监听response_send事件
此方法基于ThinkPHP的事件驱动机制，在响应即将发送前动态附加CORS头，不影响原有业务逻辑，且天然兼容多应用结构。
1、在app/common.php中注册事件监听：Event::listen('response_send', function (Response $response) {
2、获取当前请求的Origin：$origin = request()->header('origin', '');
3、定义可信来源白名单：$whitelist = ['https://admin.example.com', 'https://app.example.com'];
4、若Origin存在于白名单中，则注入响应头：if (in_array($origin, $whitelist)) {$response->header('Access-Control-Allow-Origin', $origin);$response->header('Access-Control-Allow-Credentials', 'true');$response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');$response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization');}
5、对OPTIONS请求单独处理：在事件监听前增加路由匹配逻辑，若请求路径匹配API前缀且方法为OPTIONS，则直接返回空响应并设置200状态码。
五、在CodeIgniter中重写CI_Output类
此方法通过继承并扩展核心输出类，实现对所有HTTP响应的无侵入式CORS头注入，适用于不希望修改控制器或路由逻辑的遗留项目。
1、在app/core目录下新建MY_Output.php，声明类class MY_Output extends CI_Output。
2、重写_set_header方法，在父类逻辑执行后追加CORS头：public function _set_header($header, $replace = TRUE){parent::_set_header($header, $replace);if (stripos($header, 'Access-Control-Allow-Origin') === FALSE) {$this->set_header('Access-Control-Allow-Origin: https://ci-frontend.com');$this->set_header('Access-Control-Allow-Methods: GET, POST, OPTIONS');$this->set_header('Access-Control-Allow-Headers: Content-Type, Authorization');}}
3、确保app/config/config.php中$config['subclass_prefix'] = 'MY_';已正确配置。
4、在app/core/MY_Output.php顶部添加OPTIONS预检拦截逻辑：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {http_response_code(200);exit;}
5、验证文件编码为无BOM的UTF-8，避免隐藏字节触发headers already sent警告。
