ThinkPHP跨域配置有五种方法：一、路由级allowCrossDomain()；二、自定义全局CORS中间件；三、使用think-cors扩展库；四、控制器内response()->header()设置；五、Nginx服务器层配置。
如果您在使用ThinkPHP开发Web应用时，前端发起的AJAX请求因同源策略被浏览器拦截，提示“No 'Access-Control-Allow-Origin' header is present”，则很可能是服务端未正确配置跨域响应头。以下是ThinkPHP处理跨域请求的多种配置方法：
一、路由级allowCrossDomain()配置
该方法适用于仅对特定API路由启用跨域，具备高可控性与低侵入性，是ThinkPHP 6官方推荐的轻量方案。它通过路由绑定中间件自动注入标准CORS响应头，优先级高于全局中间件，但不作用于console或event类路由。
1、在route/app.php中定义HTTP/HTTPS路由时链式调用->allowCrossDomain()方法。
2、不传参则默认设置Access-Control-Allow-Origin为*；如需指定来源，传入域名数组：->allowCrossDomain(['https://admin.example.com', 'http://localhost:3000'])。
立即学习“PHP免费学习笔记（深入）”；
3、若前端携带Cookie，必须显式启用凭证支持：->allowCrossDomain(['https://example.com'], true)。
4、确认该调用位于路由定义末尾且未被闭包逻辑遗漏，避免因语法位置错误导致失效。
二、自定义全局CORS中间件
此方法适用于全站统一处理跨域，能覆盖所有HTTP请求路径，但必须显式拦截并响应OPTIONS预检请求，否则将触发405 Method Not Allowed错误或浏览器静默失败。核心在于确保响应头在框架最终输出前写入，且不被后续逻辑覆盖。
1、执行命令php think make:middleware CorsMiddleware生成中间件类文件。
2、编辑app/middleware/CorsMiddleware.php，在handle方法起始处判断是否为OPTIONS请求：if ($request->isOptions()) { return response('', 204); }。
3、在return $next($request)之前，调用$response->header()设置响应头，例如：Access-Control-Allow-Origin: https://your-frontend.com、Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS、Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With。
4、将该中间件类完整命名空间添加至app/middleware.php的全局中间件数组首位，确保其为最外层中间件，优先执行且最后结束。
三、使用think-cors扩展库
该方案通过第三方标准化组件降低手动配置复杂度，适合需要灵活白名单管理、凭证控制与缓存时间配置的项目。扩展库会自动注册中间件并接管响应头设置流程，但需注意其配置不会自动生效，必须完成注册与启用步骤。
1、执行命令composer require topthink/think-cors安装扩展。
2、在config/app.php的middleware数组中注册：\think\middleware\Cors::class。
3、创建config/cors.php配置文件，返回包含allow_origin、allow_headers、allow_methods、allow_credentials等键的数组。
4、注意：该配置文件非ThinkPHP官方内置，需手动创建并确保中间件读取逻辑正确实现。
四、控制器内使用response()->header()设置
该方法适用于仅在特定控制器或方法中开启跨域，灵活性高但维护成本上升。相比直接调用header()函数，response()->header()可避免因输出已开始导致的报错，且能与框架响应生命周期兼容。
1、在控制器方法中构造响应对象前调用：return response($data)->header('Access-Control-Allow-Origin', 'https://a.com');。
2、若需支持凭证，必须同时设置：->header('Access-Control-Allow-Credentials', 'true')，且Access-Control-Allow-Origin不能为*。
3、如需支持Authorization头，须额外声明：->header('Access-Control-Allow-Headers', 'Authorization, Content-Type')。
4、严禁将response()->header()调用置于echo、dump()或任何输出语句之后，否则响应头将无法写入。
五、Web服务器层配置（Nginx）
该方法绕过PHP层逻辑，在反向代理入口统一注入跨域头，性能开销最小，且可规避PHP中间件顺序、重复写入等问题，特别适用于多级代理（如Nginx → Swoole）场景。
1、在server块或location块中添加：add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;。
2、显式透传Origin头以防止被代理吞掉：proxy_set_header Origin $http_origin;。
3、配置预检响应：if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Methods 'GET, POST, PUT, DELETE, OPTIONS'; add_header Access-Control-Allow-Headers 'Content-Type, Authorization, X-Requested-With'; add_header Access-Control-Allow-Credentials 'true'; add_header Access-Control-Max-Age 3600; add_header Content-Length 0; add_header Content-Type 'text/plain; charset=utf-8'; return 204; }。
4、务必使用always参数，否则add_header在301/302等重定向响应中不会生效。
