ThinkPHP中无法获取Authorization等header，是因为request()->header()使用小写下划线标准化键名（如authorization），且受环境、代理配置影响；应优先用request()->server('HTTP_AUTHORIZATION')并配置Nginx fastcgi_param或Apache SetEnvIf。
ThinkPHP 里拿不到 Authorization、X-Forwarded-For 这类 header，不是框架坏了，而是你没用对方式——标准化键名、环境兼容性、代理透传配置，三者漏一就失效。
request()->header() 返回的键名为什么全是小写下划线
ThinkPHP 把原始 header 名强制转成小写+下划线格式，比如 Content-Type → content_type，X-Real-IP → x_real_ip。这不是 bug，是设计使然。
- 想取
Authorization，得写request()->header('authorization')或更稳妥的request()->header('http_authorization') -
request()->header('Content-Type')一定返回null，大小写和横线都不认 - 自定义头如
X-Api-Version会变成x_api_version，别按原样拼 key - CLI 环境下
header()总是空数组，这不是异常，是 HTTP 上下文根本不存在
需要原始大小写或带符号的 header 怎么办
当 header 名本身敏感（比如某些 OAuth 协议要求首字母大写），或用了下划线/点号等 PHP 变量不支持的字符时，header() 方法就不可靠了。
- 优先用
request()->server('HTTP_AUTHORIZATION')—— 它比直接读$_SERVER['HTTP_AUTHORIZATION']更安全，自动处理 CGI/FastCGI 下前缀被截断的问题 - Nginx + PHP-FPM 场景下，必须加这行配置：
fastcgi_param HTTP_AUTHORIZATION $http_authorization;，否则HTTP_AUTHORIZATION在$_SERVER里压根不会出现 - 像
X-Forwarded-For这种多级代理链头，request()->header('x_forwarded_for')能取到，但值可能被伪造，不能直接信任
获取真实客户端 IP 为什么总是拿错
request()->ip() 默认只信 127.0.0.1 和 ::1，线上部署后几乎必然返回 Nginx 或 SLB 的内网地址。
立即学习“PHP免费学习笔记（深入）”；
- 必须在
config/app.php里显式配'trusted_proxies' => ['10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16']，范围按你实际内网段填 - Nginx 配置里要确保有
proxy_set_header X-Real-IP $remote_addr;，且不能让前端可控字段（如X-Forwarded-For）覆盖它 - 别依赖
$_SERVER['REMOTE_ADDR']，它在反向代理后就是上一级机器的地址，不是用户出口 IP - 如果调用方走 CDN，还得看 CDN 是否透传了
X-Forwarded-For或提供自己的头（如Cf-Connecting-Ip），得单独适配
跨域请求头设置失败的常见卡点
浏览器报 No 'Access-Control-Allow-Origin' header is present，大概率不是没设，而是设晚了、设错了位置、或被其他逻辑覆盖。
- 用路由级
->allowCrossDomain(['https://admin.example.com'], true)时，必须放在路由定义末尾，且不能套在闭包里，否则中间件链不生效 - 手写 CORS 中间件时，必须拦截
OPTIONS预检请求并返回204，否则会进控制器逻辑，触发 405 或静默失败 - 中间件注册顺序很重要：CORS 中间件必须放在
app/middleware.php全局数组最前面，否则后面中间件可能提前输出响应，header 就写不进去了 - 如果前端带
credentials: true，后端Access-Control-Allow-Origin就不能用*，必须指定确切域名，且要显式启用凭证支持
header 处理最麻烦的地方不在“怎么写”，而在“谁在什么时候写了什么、又覆盖了什么”——环境差异、代理层级、中间件执行顺序，任何一个变量变动都可能让 header 表现不一致。调试时别只盯代码，先确认请求实际经过了几层网关、每层改了哪些头、PHP 收到的 $_SERVER 到底长什么样。
