PHP跨域配置需在Web服务器（如Apache）或PHP脚本层实现，phpEnv仅提供运行环境；推荐Apache配置CORS头并处理OPTIONS预检，脚本中header()仅适用于调试，生产环境须白名单校验Origin且Credentials与Origin不可共存*。
phpEnv 本身不提供跨域配置能力，它只是 Windows 下的 PHP 运行环境集成包（含 Apache/Nginx + PHP + MySQL），真正的 CORS 配置必须落在 Web 服务器或 PHP 脚本层。
Apache 配置文件里加 CORS 响应头（推荐）
phpEnv 默认用 Apache，修改 httpd.conf 或站点对应的 vhosts.conf 是最干净、无侵入的方式。直接在 <VirtualHost> 或 <Directory> 块内添加：
- 确保
mod_headers已启用（phpEnv 通常默认开启，检查httpd.conf中是否有LoadModule headers_module modules/mod_headers.so） - 添加如下三行（替换
https://your-frontend.com为实际前端地址）：Header set Access-Control-Allow-Origin "https://your-frontend.com" Header set Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" Header set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"
- 必须处理 OPTIONS 预检请求，否则 PUT/DELETE 或带自定义 Header 的请求会失败：
RewriteEngine On RewriteCond %{REQUEST_METHOD} OPTIONS RewriteRule ^(.*)$ $1 [R=200,L]
PHP 脚本开头手动加 header()（快速验证用）
适合调试或临时绕过，但不建议长期用于生产。注意：必须在任何输出（包括空格、BOM、echo）之前调用 header()，否则报 headers already sent 错误。
- 基础写法（开发环境可用）：
<?php header("Access-Control-Allow-Origin: *"); header("Access-Control-Allow-Methods: GET, POST, OPTIONS"); header("Access-Control-Allow-Headers: Content-Type, Authorization"); if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { exit; } - 带白名单的安全写法（生产必需）：
$origin = $_SERVER['HTTP_ORIGIN'] ?? ''; $allowed = ['https://your-frontend.com', 'http://localhost:3000']; if (in_array($origin, $allowed)) { header("Access-Control-Allow-Origin: $origin"); header('Access-Control-Allow-Credentials: true'); } // 注意：设了 Credentials 就不能用 *，且前端 fetch 必须加 credentials: "include"
为什么 phpEnv 启动后仍跨域失败？常见卡点
很多问题不是 CORS 配置没写，而是被其他环节拦截了：
立即学习“PHP免费学习笔记（深入）”；
-
Access-Control-Allow-Origin和Access-Control-Allow-Credentials: true同时存在时，前者不能是*，否则浏览器直接拒绝响应 - Apache 的
AllowOverride None会让.htaccess里的 CORS 设置失效 —— phpEnv 默认就是None，所以别指望放.htaccess能起作用 - phpEnv 自带的 Nginx 模式（如果启用）需单独配
nginx.conf，规则和 Apache 不兼容，别混用 - 前端发的是带 Cookie 的请求，但后端没返回
Access-Control-Allow-Credentials: true，或前端没设credentials: "include"（fetch）或withCredentials: true（axios）
真正要稳定跑通，优先改 Apache 配置；脚本里加 header() 只能应急。最容易被忽略的是：预检请求（OPTIONS）没被正确响应，以及凭证模式下 Origin 和 Credentials 的配合关系 —— 这两点错一个，整个跨域链就断在浏览器层面，连 PHP 脚本都不会执行。
