phpEnv下CORS配置需同时满足：启用mod_headers模块、.htaccess所在目录AllowOverride为All、header()调用前无任何输出；带credentials时Access-Control-Allow-Origin不可为*，必须动态匹配Origin并设置Access-Control-Allow-Credentials:true。
phpEnv 是 Windows 下轻量级 PHP 集成环境，本质是 Apache + PHP + MySQL 的封装，不自带反向代理或中间件层。它对 CORS 的支持完全依赖 Apache 模块和 PHP 脚本本身——没有“phpEnv 专属配置项”，所有设置都落在 mod_headers 和 header() 上。
Apache .htaccess 文件中启用 CORS 失败的常见原因
phpEnv 默认启用 mod_headers，但部分精简版安装可能未加载。若在 .htaccess 中写 Header always set Access-Control-Allow-Origin "*" 却无效果，先检查 Apache 是否真正加载该模块：
- 打开 phpEnv 安装目录下的
Apache/conf/httpd.conf，确认未被注释的行存在：LoadModule headers_module modules/mod_headers.so -
.htaccess必须放在目标 PHP 文件所在目录（如www/api/），且该目录的AllowOverride配置需为All或至少包含Headers - 若使用 phpEnv 的“站点管理”功能添加了多站点，每个站点根目录需单独放一份
.htaccess，父目录的不会继承 - 修改后必须重启 phpEnv 的 Apache 服务（不是仅刷新页面）
PHP 脚本里用 header() 设置 CORS 时的执行顺序陷阱
header() 必须在任何输出（包括空格、BOM、echo、HTML 标签）之前调用，否则会报 Warning: Cannot modify header information 且 CORS 头无效。
- 确保 PHP 文件开头无 UTF-8 BOM：用 VS Code 或 Notepad++ 以“UTF-8 无 BOM”格式保存
- 不要在
header()前包含任何.php文件，除非确认它们也无输出；尤其警惕配置文件里的末尾换行 - 处理预检请求（OPTIONS）时，不能只靠
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { exit(); }—— 必须在exit()前已输出所有 CORS 头，否则浏览器收不到响应头 - 示例安全写法：
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('Access-Control-Allow-Origin: https://localhost:5173'); header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS'); header('Access-Control-Allow-Headers: Content-Type, Authorization'); header('Access-Control-Allow-Credentials: true'); exit(); }
带 credentials 的跨域请求（如 Cookie / Authorization）必须注意的硬限制
当前端设置了 credentials: 'include'（Fetch）或 withCredentials = true（XMLHttpRequest），后端 Access-Control-Allow-Origin 就不能为 *，否则浏览器直接拒绝响应。
立即学习“PHP免费学习笔记（深入）”；
- 必须显式列出允许的源，例如：
header('Access-Control-Allow-Origin: https://localhost:5173'); - 同时必须设置：
header('Access-Control-Allow-Credentials: true'); - phpEnv 环境下，若前端是
http://localhost:5173（Vite 默认），后端是http://localhost（phpEnv 默认），协议+端口不同即算跨域，不能漏掉端口号 - Apache 的
.htaccess方式无法动态判断 Origin，所以带 credentials 场景下，header()是唯一可靠方式
最易被忽略的是：phpEnv 的 Apache 默认关闭了 KeepAlive 和长连接复用，而某些前端框架（如 SvelteKit）在开发模式下会高频触发预检请求。如果没在 PHP 脚本中显式处理 OPTIONS，或没配 Access-Control-Max-Age，会导致每秒多次 OPTIONS 请求堆积——这不是 CORS 配置错误，而是性能盲区。
