PHP跨域需先确认phpEnv启用的Web服务器：Nginx须用add_header ... always并拦截OPTIONS返回204；Apache需启用mod_headers且Header指令加always；PHP层header()可覆盖但易因输出失败，推荐统一用PHP动态校验Origin白名单。
phpEnv里怎么配CORS：先分清是Nginx还是Apache
phpEnv默认支持Nginx和Apache双模式，但两者配置位置和语法完全不同，混用会导致头不生效。必须先确认当前启用的是哪个Web服务器：phpenv list 或查看 ~/.phpenv/versions/ 下对应版本的配置目录（nginx/conf.d/ 或 apache2/conf.d/）。
Nginx模式下add_header必须加always修饰符
在phpEnv的Nginx配置中，直接写 add_header Access-Control-Allow-Origin "https://example.com" 是无效的——Nginx默认只对2xx响应添加头，而OPTIONS预检返回204或4xx时会被跳过。必须显式加 always：
add_header 'Access-Control-Allow-Origin' 'https://example.com' always; add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always; add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization' always;
同时，务必拦截OPTIONS请求并返回204：
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' 'https://example.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization' always;
return 204;
}
- 不加
always→ 浏览器收不到CORS头，报“No 'Access-Control-Allow-Origin' header is present” - 没处理
OPTIONS→ 预检失败，真实请求根本不会发出 - Origin写成
*且开了Access-Control-Allow-Credentials: true→ 浏览器直接拒绝，报“Credentials flag is true”错误
Apache模式下Header指令需确保mod_headers已启用
phpEnv的Apache配置依赖 mod_headers 模块，若未启用，Header set 会静默失效。检查方法：apachectl -M | grep headers。若无输出，需手动启用：
立即学习“PHP免费学习笔记（深入）”；
LoadModule headers_module modules/mod_headers.so
然后在虚拟主机或 .htaccess 中写：
<IfModule mod_headers.c>
Header always set Access-Control-Allow-Origin "https://example.com"
Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS"
Header always set Access-Control-Allow-Headers "Content-Type, Authorization"
</IfModule>
-
Header always set是关键，漏掉always会导致4xx响应不带CORS头 - 若项目根目录有
.htaccess，优先走它；否则改apache2/conf.d/vhosts.conf里的对应<virtualhost></virtualhost>块 - Apache不原生支持
Access-Control-Allow-Credentials的条件判断，如需凭据支持，建议退回到PHP层用header()动态控制
PHP脚本里header()和Web服务器配置冲突怎么办
phpEnv环境下，Nginx/Apache配置和PHP的 header() 可能同时存在。此时规则是：header() 会覆盖同名的服务器级响应头（除非Nginx用了 always 修饰）。但有个硬限制：一旦PHP脚本有任何输出（哪怕一个空格、BOM、echo ''），header() 就会报“headers already sent”并失败。
- 推荐策略：简单项目用PHP层统一控制（把所有CORS逻辑集中到一个
cors.php并require_once），避免服务器配置分散 - 复杂多域名场景，用服务器配置 + PHP动态校验Origin（比如白名单数组匹配
$_SERVER['HTTP_ORIGIN']后再header("Access-Control-Allow-Origin: $origin")） - 最易忽略的点：phpEnv的Nginx默认启用gzip，而gzip可能干扰某些CORS头传递，可在location块加
gzip off;临时排除问题
