ThinkPHP跨域需通过Response对象在中间件中设置头信息，确保执行顺序前置；带credentials时Access-Control-Allow-Origin不能为*，须动态匹配白名单域名且启用Access-Control-Allow-Credentials:true。
ThinkPHP 中设置自定义响应头和跨域（CORS）不是简单加几行 header() 就能搞定的事，关键在于时机、顺序和请求类型区分。直接在控制器里写 header() 容易失效，尤其在 TP6+ 中，输出流程已被框架接管；而跨域失败常因 OPTIONS 预检没被正确响应，或凭证（Cookie / Authorization）与 Access-Control-Allow-Origin: * 冲突。
响应头必须在框架输出前注入
ThinkPHP 的响应对象（response()）是统一出口，手动调用 header() 只有在没有任何输出（包括空格、BOM、echo、var_dump）之前才有效。TP5.1 常见错误就是在 initialize() 里写 header()，结果被后续视图或 JSON 输出覆盖。
- 正确方式是用
response($data)->header('X-Custom-Header', 'value')，且必须放在return语句中，不能拆成两行 - 若需全局加头（如
X-Powered-By），推荐在中间件中操作$response->header()，确保它在$next($request)返回后、最终输出前执行 - 避免在多个地方重复设置同一响应头，比如控制器设了
Access-Control-Allow-Origin，中间件又设一次，可能触发浏览器报错
跨域配置要分清“简单请求”和“预检请求”
浏览器对 GET/POST 且只含基础头（如 Content-Type: application/x-www-form-urlencoded）的请求不发预检；但只要带 Authorization、application/json 或自定义头，就会先发 OPTIONS 请求。TP6 默认不响应这个请求，直接 405 或静默失败。
- 中间件中必须显式判断：
if ($request->isOptions()) { return response('', 204); } - 预检响应至少要带：
Access-Control-Allow-Methods、Access-Control-Allow-Headers，且204状态码比200更规范 - 实际接口响应再补上：
Access-Control-Allow-Origin、Access-Control-Allow-Credentials（如需）
带 Cookie 或 Authorization 时的硬性限制
一旦前端设置了 credentials: 'include' 或 xhrFields: { withCredentials: true }，后端就不能把 Access-Control-Allow-Origin 设为 *，否则浏览器直接拒绝响应。
立即学习“PHP免费学习笔记（深入）”；
- 必须指定具体协议+域名，例如
https://admin.example.com，且前后端域名必须完全匹配（含端口） - 同时要设置
Access-Control-Allow-Credentials: true，缺一不可 - 如果前端是
localhost:3000，后端白名单就得包含它；多环境开发建议在中间件里读取请求头Origin，动态校验并回写，而不是写死 - ThinkPHP 的 session cookie 还需额外配
config/session.php中的'domain' => '.example.com'（注意开头的点）
路由级跨域更安全、更可控
不是所有接口都需要跨域，比如管理后台 API 和用户中心 API 可能面向不同前端。TP6 提供的 ->allowCrossDomain() 是轻量又精准的方式。
- 只对当前路由生效，不影响其他路径，适合 API 分组或单个接口调试
- 支持传数组白名单：
->allowCrossDomain(['https://a.com', 'http://localhost:8080']) - 启用凭证只需加第二个参数：
->allowCrossDomain(['https://a.com'], true) - 注意它仅对 HTTP/HTTPS 路由有效，不能用于 console 或 event 类路由
