Yii2解决跨域需避开wildcard+credentials冲突：启用Access-Control-Allow-Credentials=true时，Origin必须指定具体域名数组（如['http://localhost:8080']），不可用['*']；同时需显式配置OPTIONS路由、匹配请求头，并确保请求进入Yii生命周期。
Yii 框架解决跨域问题，不能只靠加一句 Access-Control-Allow-Origin: * 就完事——那样在开启凭证（withCredentials: true）时会直接报错：Error: Allowing credentials for wildcard origins is insecure。核心矛盾在于：**允许携带 Cookie 或认证头，就必须明确指定 Origin，不能用 ***。
Yii2 中启用 CorsFilter 时必须避开 wildcard + credentials 冲突
Yii 自带的 Cors 过滤器（yii\filters\Cors）默认行为很严格。如果你写了 'Origin' => ['*'] 同时又设了 'Access-Control-Allow-Credentials' => true，框架会在预检（OPTIONS）响应前就抛出异常，根本不会走到 HTTP 响应阶段。
- 正确做法是：把
Origin改成具体数组，比如['http://localhost:8080', 'https://admin.example.com'] - 如果开发阶段图省事，可临时设为
'Access-Control-Allow-Credentials' => false，但要注意前端fetch或XMLHttpRequest里也得同步关掉credentials -
Access-Control-Request-Headers如果前端发了Authorization或X-Api-Key，这里必须显式列出，不能只写['*']（Yii2.0.45+ 对['*']的支持有限，建议写死）
Apache/Nginx 层加 Header 与 Yii 层配置的区别
在 Web 服务器层（如 Apache 的 httpd-vhosts.conf）加 Header set Access-Control-Allow-Origin "*"，看起来简单，但绕过了 Yii 的请求生命周期，会导致几个实际问题：
- 无法动态判断来源域名（比如生产环境只允许可信域名，Apache 配置写死就难维护）
- 无法配合 Yii 的
AccessControl或用户登录态做细粒度控制（例如：仅登录用户才允许某 Origin 跨域） - 若同时在 Apache 和 Yii 里都设了 CORS 头，可能重复或冲突（浏览器只认最后一个）
- Apache 必须启用
mod_headers，且虚拟主机配置中Header指令作用域要对（放在<VirtualHost>或<Directory>内，不能只写在全局）
OPTIONS 请求 405 错误：路由没配好
浏览器发预检请求时用的是 OPTIONS 方法，而 Yii 默认的 RESTful 路由规则（UrlRule）不自动处理它。结果就是 405 Method Not Allowed。
- 在模块或应用的 URL 规则中，给每个 API 路径补上
OPTIONS显式支持，例如：'extraPatterns' => ['GET,OPTIONS' => 'index', 'POST,OPTIONS' => 'create'] - 或者统一在
urlManager配置里加一条兜底规则：'pattern' => '<controller:>/<action:>', 'route' => '<controller>/<action>', 'verb' => ['GET', 'HEAD', 'POST', 'PUT', 'PATCH', 'DELETE', 'OPTIONS']</action></controller></action:></controller:> - 确保控制器继承自
yii\rest\Controller，否则behaviors()里的corsFilter可能不生效
前端 fetch 发送凭据时后端没返回 Access-Control-Allow-Credentials
这是个典型“两端不匹配”问题：前端 JS 写了 fetch('/api/user', { credentials: 'include' })，但后端响应头里没有 Access-Control-Allow-Credentials: true，浏览器就会静默拒绝响应体（即使状态码是 200）。
- Yii 中必须在
cors配置里同时设置'Access-Control-Allow-Credentials' => true和具体Origin数组 - 注意：此时
Access-Control-Allow-Origin值不能是*，也不能是逗号分隔的多个值，只能是单个匹配的 Origin 字符串（Yii 会自动选中匹配项并写入响应头） - 调试时用浏览器 DevTools 的 Network 标签页，点开请求 → Headers → Response Headers，确认这三行都存在且值合理：
Access-Control-Allow-Origin、Access-Control-Allow-Credentials、Access-Control-Allow-Methods
真正容易被忽略的是：CORS 配置生效的前提，是请求确实进入了 Yii 的应用生命周期。如果 Apache 把请求直接返回了静态文件、或者被 rewrite 规则截断、或者进了错误的虚拟主机，那再完善的 behaviors() 都没机会执行。
