PHP与AJAX交互三大关键：1. 前端Content-Type决定后端读取方式（$_POST或php://input）；2. header('Content-Type: application/json')须在echo前且无输出；3. 跨域需完整处理OPTIONS预检及credentials匹配。
PHP 与 AJAX 交互不是“学个语法就能跑通”的事，关键在搞清数据怎么进、怎么出、中间哪一环断了就全黑屏。绝大多数人卡在 $_POST 为空、response.json() 报错、跨域直接被拦这三处——下面直奔实操。
怎么判断该用 $_POST 还是 file_get_contents('php://input')
前端发什么格式，后端就得配什么读法，没商量余地。
- 前端用
fetch+JSON.stringify({name: 'a'})+headers: {'Content-Type': 'application/json'}→ 后端必须用file_get_contents('php://input')拿原始体，再json_decode($raw, true) - 前端用
FormData或fetch发body: 'name=a&age=25'+headers: {'Content-Type': 'application/x-www-form-urlencoded'}→ 后端才能用$_POST['name'] - 打印
$_SERVER['CONTENT_TYPE']和var_dump($_POST)是最快定位方式：如果$_POST是空数组但CONTENT_TYPE是application/json，那就别挣扎了，换php://input
header('Content-Type: application/json') 必须写在 echo 前面
这个 header 不是“建议加”，是 response.json() 解析的硬性门槛。Safari、旧版 Edge 会直接抛 Unexpected end of JSON input，哪怕你 echo 出来的是完美 JSON。
- 所有输出（
echo、print、甚至 PHP 文件末尾多一个空行或 BOM）都必须在header()之后 - 调试时加一句
var_dump(headers_sent());，返回true就说明头已经发出去了，再调header()无效 - 常见陷阱：某个
require的配置文件末尾有?>换行，或者 UTF-8 BOM 隐形字符，都会导致 header 失效
跨域请求失败，光加 Access-Control-Allow-Origin 不够
浏览器报 No 'Access-Control-Allow-Origin' header is present，很多人立刻加 header('Access-Control-Allow-Origin: *')，结果还是 403 或直接不发请求——因为 OPTIONS 预检根本没过。
立即学习“PHP免费学习笔记（深入）”；
- 带自定义 header（如
Authorization）、用PUT/DELETE、或Content-Type不是application/x-www-form-urlencoded时，浏览器必先发一次 OPTIONS 请求 - PHP 端必须显式响应 OPTIONS：
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('HTTP/1.1 200 OK'); exit; } - 完整跨域头至少要这三句：
header('Access-Control-Allow-Origin: https://your-frontend-domain.com');（不能用*如果带 credentials）、header('Access-Control-Allow-Methods: POST, GET, OPTIONS');、header('Access-Control-Allow-Headers: Content-Type, Authorization');
最易被忽略的是：预检通过后，后续实际请求仍可能因 session 或 cookie 携带失败而静默中断——这时得确认前端 fetch 是否开了 credentials: 'include'，且后端 Access-Control-Allow-Credentials 和 Origin 值是否严格匹配。
