Apache跨域配置在XAMPP上失效，90%因未启用mod_headers模块；必须取消httpd.conf中LoadModule headers_module modules/mod_headers.so的注释并重启Apache，否则Header指令完全不执行。
Apache 跨域配置在 XAMPP 上失效，90% 是因为 mod_headers 模块根本没启用——哪怕你已经写了十几行 Header set，它也完全不执行。
必须先启用 mod_headers 模块，否则所有 Header 配置都是摆设
XAMPP 默认注释掉该模块，httpd.conf 里这行：
LoadModule headers_module modules/mod_headers.so
必须取消注释（删掉开头的 #）。如果整行不存在，就手动加进去。改完不重启 Apache，配置永远不生效。
- 检查方法：访问
http://localhost/xampp/phpinfo.php，搜索headers，能看到mod_headers才算加载成功 - 常见误操作：只改了
httpd-vhosts.conf或.htaccess，却漏掉这一步，浏览器控制台仍报No 'Access-Control-Allow-Origin' header - Windows 下若提示
Cannot load modules/mod_headers.so，说明 XAMPP 版本太旧或损坏，建议重装最新版
Header set 和 Header add 的区别决定你能否支持多个域名
Header set 会覆盖同名响应头，而 Header add 是追加。CORS 规范要求 Access-Control-Allow-Origin 只能有一个值，但开发时你可能要同时支持 http://localhost:5173 和 http://127.0.0.1:5173 ——这时不能写两行 Header set，否则只有最后一行生效。
立即学习“前端免费学习笔记（深入）”；
- 单域名开发用：
Header set Access-Control-Allow-Origin "http://localhost:5173" - 多域名（且后端不动态判断）只能靠条件判断，例如：
<If "%{HTTP_ORIGIN} == 'http://localhost:5173' || %{HTTP_ORIGIN} == 'http://127.0.0.1:5173'"><br> Header set Access-Control-Allow-Origin "%{HTTP_ORIGIN}e"<br></If> - 用
*最简单，但仅限开发；生产环境带凭证（credentials: true）时，*直接被浏览器拒绝，必须指定 Origin 并配Header set Access-Control-Allow-Credentials "true"
OPTIONS 预检请求返回 405？不是 CORS 配错了，是 HTTP 方法没放开
浏览器发 OPTIONS 请求时，Apache 默认只允许 GET/POST/HEAD，直接拒掉 OPTIONS，返回 405，和响应头无关。
- 在对应
<directory></directory>或<virtualhost></virtualhost>块里加：Require method GET POST HEAD OPTIONS
- 如果用了
mod_rewrite，检查有没有类似RewriteRule ^ - [F]或无条件拦截规则，它们会优先于Require生效 - 别信“加个空的
Options *就行”——Apache 2.4+ 已弃用该写法，Require method才是正解
配置写对了，但浏览器还是报 CORS 错误？先排除缓存和插件干扰
Chrome 控制台显示响应头存在，但依然报错，大概率不是服务端问题。
- 打开隐身窗口测试，禁用所有扩展（尤其 CORS 插件、广告拦截器）
- 清除浏览器缓存，或在 DevTools Network 标签页右键请求 → “Clear browser cache”
- 检查响应是否来自代理或中间层（比如前端 dev server 启用了 proxy，实际跨域请求根本没走到 Apache）
- 用
curl -I http://localhost/your-api看原始响应头，绕过浏览器干扰
最麻烦的情况是：配置全对、模块已启、方法已放、插件已关，但重启 Apache 后仍不生效——XAMPP 有时会卡住旧进程，任务管理器里杀掉所有 httpd.exe 再启动更可靠。
