必须在任何输出前调用header()设置CORS头：一、确保无BOM UTF-8编码；二、清除文件开头空白与隐藏字符；三、header()置于所有echo、HTML及换行之前。
如果您在PHP后端接口中遭遇前端请求被浏览器拦截，提示“CORS header ‘Access-Control-Allow-Origin’ missing”，则很可能是响应头未在正确时机或方式下设置。以下是使用header()函数配置CORS响应头的规范操作步骤：
一、确保header()调用位于所有输出之前
PHP的header()函数仅在HTTP响应头尚未发送时生效；一旦有任意字符（包括空格、BOM、echo、HTML标签、换行符）被输出，将触发“Cannot modify header information”错误并导致CORS头失效。
1、确认PHP文件以无BOM的UTF-8编码保存，编辑器中关闭BOM写入选项。
2、检查文件开头是否存在空白行、注释前空格或隐藏不可见字符。
立即学习“PHP免费学习笔记（深入）”；
3、将所有header()语句置于
4、若使用模板或框架自动输出机制，需确认其未在header()执行前触发隐式输出缓冲刷新。
二、区分开发与生产环境的Origin策略
Access-Control-Allow-Origin值直接影响安全性与功能性：通配符*不支持携带凭据（如Cookie、Authorization），而指定域名则可配合Credentials使用，必须按场景精准选择。
1、开发阶段快速验证时，可临时使用header("Access-Control-Allow-Origin: *")。
2、生产环境中涉及登录态或敏感操作时，必须显式声明可信来源，例如：header("Access-Control-Allow-Origin: https://app.yourcompany.com")。
3、若需支持多个前端域名，不得直接写多个Origin头；应从$_SERVER['HTTP_ORIGIN']读取并白名单校验后动态输出单个匹配值。
4、当启用凭证共享时，除指定具体Origin外，还必须添加：header("Access-Control-Allow-Credentials: true")。
三、完整覆盖预检请求（OPTIONS）处理逻辑
浏览器对非简单请求（如含Authorization头、Content-Type为application/json、使用PUT/DELETE方法）会先发起OPTIONS预检；若PHP未响应此请求或响应不合规，真实请求将被阻止，且不会发出。
1、在所有header()调用之后、业务逻辑开始之前，插入预检判断代码块。
2、检查请求方法是否为OPTIONS：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS')。
3、立即返回标准预检响应：http_response_code(200); exit();。
4、确保预检响应中包含必需头字段：Access-Control-Allow-Methods、Access-Control-Allow-Headers、Access-Control-Max-Age，且这些header()调用必须出现在exit()之前。
四、组合设置关键CORS响应头字段
单一Origin头不足以满足现代API交互需求；必须协同设置方法、头部、生命周期等字段，构成完整CORS策略声明。
1、声明允许的HTTP方法：header("Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS")。
2、声明允许携带的请求头：header("Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With, Accept")。
3、设置预检结果缓存时长（单位秒），减少重复OPTIONS请求：header("Access-Control-Max-Age: 3600")。
4、若需支持重定向响应跨域暴露，追加：header("Access-Control-Expose-Headers: X-Total-Count, Link")。
五、验证响应头是否真实生效
浏览器开发者工具显示的响应头可能被服务器层（如Nginx、Apache）覆盖或过滤；必须通过命令行工具直接观测PHP原始输出，排除中间件干扰。
1、使用curl命令模拟请求并查看原始响应头：curl -I -H "Origin: https://example.com" http://localhost/api/test.php。
2、确认返回中存在Access-Control-Allow-Origin及其他已设CORS头，且状态码为200（非301/302跳转）。
3、对OPTIONS请求单独验证：curl -X OPTIONS -I -H "Origin: https://example.com" http://localhost/api/test.php。
4、若响应头缺失，检查是否因FastCGI缓冲、opcache预编译或Web服务器add_header指令覆盖了PHP header()输出。
