ThinkPHP+Nginx跨域问题需在Nginx层配置CORS头，方案包括：一、全局add_header注入；二、proxy_hide_header屏蔽后端头再重写；三、map模块动态白名单；四、透传并增强ThinkPHP原生CORS。
如果您在使用ThinkPHP开发Web应用时，前端通过AJAX向Nginx代理后的ThinkPHP后端发起请求，却遭遇跨域拦截（如浏览器报错“CORS header ‘Access-Control-Allow-Origin’ missing”），则很可能是Nginx未正确注入CORS响应头，或与ThinkPHP的响应头设置发生冲突。以下是针对Nginx架构下为ThinkPHP配置CORS头的多种独立可行方案：
一、Nginx全局add_header方式（覆盖所有PHP响应）
该方法不依赖ThinkPHP代码改动，直接在Nginx配置层统一注入标准CORS头，适用于全站API及静态资源入口，且能确保OPTIONS预检请求也携带对应头信息。需注意add_header仅对指定HTTP状态码生效，默认不作用于301/302等重定向响应。
1、进入Nginx站点配置文件（如/etc/nginx/conf.d/your-site.conf），定位到server块内的location ~ \.php$或主location /块中。
2、在proxy_pass指令之后、fastcgi_pass之前（若使用FastCGI）或直接置于location块内（若使用PHP-FPM socket直连），添加以下指令：
立即学习“PHP免费学习笔记（深入）”；
add_header Access-Control-Allow-Origin "*" always;
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" always;
add_header Access-Control-Allow-Credentials "true" always;
3、显式处理OPTIONS预检请求：在location块中添加if判断，返回204空响应以避免被ThinkPHP路由逻辑拦截：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin "*"; add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"; add_header Access-Control-Allow-Credentials "true"; return 204; }
二、Nginx proxy_hide_header + ThinkPHP中间件协同控制
该方法用于规避ThinkPHP自身输出的重复或冲突CORS头（如多个中间件叠加导致Access-Control-Allow-Origin出现多次），由Nginx主动屏蔽后端PHP层生成的原始CORS头，再由Nginx重新注入标准化、可控的版本。适用于已存在多处header()调用且难以清理的遗留项目。
1、在ThinkPHP中移除所有手动header()调用及allowCrossDomain()链式调用，确保控制器、中间件、事件监听器中不再写入任何Access-Control-*头。
2、在Nginx location块中proxy_pass指令之后，添加以下指令屏蔽PHP层可能输出的CORS相关头：
proxy_hide_header Access-Control-Allow-Origin;
proxy_hide_header Access-Control-Allow-Methods;
proxy_hide_header Access-Control-Allow-Headers;
proxy_hide_header Access-Control-Allow-Credentials;
3、紧接其后，使用add_header指令注入唯一、权威的CORS头，并启用always参数强制覆盖所有响应状态码：
add_header Access-Control-Allow-Origin "$http_origin" always;
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" always;
add_header Access-Control-Allow-Credentials "true" always;
三、Nginx map模块动态Origin白名单（生产环境安全首选）
该方法通过Nginx内置map指令构建Origin白名单映射表，实现对Access-Control-Allow-Origin值的动态校验与精准回写，避免使用通配符*导致无法携带Cookie的问题，满足生产环境对安全性与功能性的双重要求。
1、在Nginx配置的http块顶层（非server或location内）添加map定义：
map $http_origin $cors_origin { default ""; "https://admin.example.com" "https://admin.example.com"; "http://localhost:3000" "http://localhost:3000"; "https://shop.example.net" "https://shop.example.net"; }
2、在server或location块中，将add_header的Origin值替换为变量$cors_origin：
add_header Access-Control-Allow-Origin $cors_origin always;
add_header Access-Control-Allow-Credentials "true" always;
3、确保OPTIONS预检请求同样应用该逻辑：在if ($request_method = 'OPTIONS')块中，同样使用$cors_origin变量回写Origin头，并返回204。
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin $cors_origin; add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"; add_header Access-Control-Allow-Credentials "true"; return 204; }
四、Nginx反向代理透传并增强ThinkPHP原生CORS头
该方法保留ThinkPHP框架内已配置的CORS逻辑（如allowCrossDomain()或中间件），仅通过Nginx对响应头进行补充与加固，适用于已稳定运行且不便重构CORS策略的ThinkPHP 6项目，尤其适合需要区分API与页面路由的混合部署场景。
1、确认ThinkPHP中已启用路由级CORS：在route/app.php中对API路由链式调用->allowCrossDomain(['https://frontend.com'], true)。
2、在Nginx location匹配API路径（如location ^~ /api/）中，添加以下指令确保预检请求不落入PHP处理流程：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin "https://frontend.com"; add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"; add_header Access-Control-Allow-Credentials "true"; return 204; }
3、对非OPTIONS请求，使用add_header追加ThinkPHP可能未设置的关键头，例如Vary头以支持CDN缓存区分：
add_header Vary "Origin, Access-Control-Request-Method, Access-Control-Request-Headers" always;
add_header Access-Control-Max-Age "86400" always;
