PHP跨域需在Apache/Nginx配置或PHP代码中设置CORS响应头，phpEnv仅提供运行环境，其界面不支持CORS可视化配置；推荐在Apache的httpd-vhosts.conf中用Header指令配置，并确保启用mod_headers及正确处理OPTIONS预检请求。
phpEnv 本身不处理跨域，它只是 Windows 下的 PHP 运行环境套件（含 Apache/Nginx + PHP + MySQL），真正的跨域控制在 Apache/Nginx 配置或 PHP 代码里。直接在 phpEnv 的界面点点点是没用的。
Apache 配置文件中加 CORS 头（推荐）
phpEnv 默认用 Apache，CORS 头写在 .htaccess 或主配置里最稳定，不依赖 PHP 执行顺序，也不怕 BOM 或 echo 干扰。
- 打开 phpEnv 安装目录下的
Apache/conf/extra/httpd-vhosts.conf（或站点对应虚拟主机配置块） - 在
<Directory>或<Location>块内加入：<IfModule mod_headers.c> Header set Access-Control-Allow-Origin "https://your-frontend.com" Header set Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" Header set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" Header set Access-Control-Allow-Credentials "true" </IfModule> - 确保 Apache 已启用
mod_headers：检查httpd.conf中有LoadModule headers_module modules/mod_headers.so且未被注释 - 重启 Apache（phpEnv 界面点“重启 Apache”）
PHP 脚本开头手动调用 header()（慎用）
仅适用于单入口、无框架、无任何输出的简单脚本。一旦用了 ThinkPHP/Laravel 或哪怕开头多一个空格，header() 就会静默失败。
- 必须放在所有输出之前——包括
echo、print、HTML、BOM、甚至文件末尾的换行 - 若前端带
credentials: 'include'，不能写Access-Control-Allow-Origin: *，得动态匹配：if (isset($_SERVER['HTTP_ORIGIN']) && in_array($_SERVER['HTTP_ORIGIN'], ['https://a.com', 'https://b.net'])) { header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']); header('Access-Control-Allow-Credentials: true'); } - 务必拦截
OPTIONS请求，否则预检失败：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('HTTP/1.1 200 OK'); header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS'); exit; }
为什么在 phpEnv 的“网站管理”里设不了 CORS？
phpEnv 的图形界面只负责启停服务、切换版本、管理数据库，它不提供 HTTP 响应头的可视化配置项。你看到的“伪静态”“重写规则”功能，底层也只是帮你写 .htaccess 或 httpd.conf 片段，不是独立的 CORS 控制面板。
立即学习“PHP免费学习笔记（深入）”；
- 别指望在 phpEnv 界面里找到 “CORS 开关” 或 “跨域域名白名单” 输入框
- 如果误以为“已开启 Rewrite”就等于 CORS 生效，结果会是 405（OPTIONS 不被允许）或响应头缺失
- 用
curl -I http://localhost/api.php实际看响应头，比看 phpEnv 界面更可靠
真正容易被忽略的是：Apache 在 phpEnv 下默认不处理 OPTIONS 方法，即使你写了 Header set，预检请求仍可能被直接拒掉为 405。必须显式放行，或者用 RewriteRule 拦截并返回 200 —— 这个细节，90% 的人第一次都会漏掉。
