Symfony API 跨域必须用 NelmioCorsBundle 中间件，否则 OPTIONS 预检请求因未进入内核而返回 405 或空白；需精确配置 paths、显式声明 OPTIONS、清除缓存、正确设置 allow_origin/allow_headers/expose_headers 等。
直接上结论：别用 .htaccess 或手动 header()，Symfony API 的跨域必须走中间件层（NelmioCorsBundle），否则预检请求（OPTIONS）必然失败，且生产环境缓存会让问题更隐蔽。
为什么 OPTIONS 请求总返回 405 或空白响应
根本不是 CORS 配置没生效，而是请求压根没进 Symfony 内核——路由没匹配到任何控制器，OPTIONS 被 Web 服务器或 Symfony 默认 fallback 拦截了。
- 确认
config/packages/nelmio_cors.yaml中的paths精确覆盖你的 API 路径，比如请求是/v1/users，但配置只写了^/api/，那就不会触发 -
allow_methods必须显式列出OPTIONS（即使文档说“自动添加”，实际在 Symfony 6+ 中不加就 405） - 清除 prod 缓存：
bin/console cache:clear --env=prod，否则旧容器会跳过新配置 - 临时加一行
dump('cors hit');在Nelmio\CorsBundle\EventListener\CorsListener::onKernelRequest开头，验证是否真被调用
开发时 localhost:3000 调用 localhost:8000 仍报错
浏览器判定为不同源——协议、域名、端口三者任一不同即跨域。localhost 和 127.0.0.1 在部分浏览器里也被视为不同源。
-
allow_origin别写单个http://localhost:3000，改用数组：['http://localhost:3000', 'http://127.0.0.1:3000'] - 如果前端用了 HTTPS（如 Vite HMR），后端却是 HTTP，必须把
https://localhost:3000也加进去 - 禁用
allow_credentials: true时才能用通配符*；一旦开启，allow_origin必须是具体域名，否则浏览器直接拒绝响应 - 前端 fetch 要加
credentials: 'include'，否则 Cookie 不会发，Session 就断了
POST/PUT 带 JSON 的请求卡在预检阶段
浏览器发 OPTIONS 时会带上 Access-Control-Request-Headers（比如 Content-Type），如果后端没声明允许，预检就失败。
-
allow_headers至少包含Content-Type、Authorization；若前端还发了X-Requested-With或自定义 header（如X-Api-Version），必须全部列出来 -
expose_headers是给前端 JS 读取用的，比如你想在response.headers.get('X-RateLimit-Remaining')拿值，这个 header 就得进expose_headers列表 -
max_age: 3600很关键——它让浏览器缓存预检结果 1 小时，避免每个请求前都发一次OPTIONS - 不要在控制器里手动设
Access-Control-Allow-Origin，和 Bundle 冲突会导致头重复，部分浏览器直接忽略
最易被忽略的一点：NelmioCorsBundle 的 origin_regex: true 在生产环境很有用（比如匹配 https://*.example.com），但开发期如果正则写错，它会静默跳过匹配，连 warning 都不报——建议先用固定数组，上线前再切正则。
