Access-Control-Allow-Origin头未生效，主因是被框架重置、中间件跳过或与credentials:true冲突；ThinkPHP6需路由级allowCrossDomain()或自定义CorsMiddleware显式处理OPTIONS预检，且Origin须动态校验、Nginx需透传Origin头。
Access-Control-Allow-Origin 头没生效，不是你没写，而是它被框架重置、被中间件跳过、或和 credentials: true 冲突了。ThinkPHP 6 不会自动加跨域头，必须靠路由级配置或中间件主动注入，且 OPTIONS 预检必须显式处理。
路由级 allowCrossDomain() 怎么用才不白配
这是最轻量、最可控的方式，只对指定 API 路由生效，适合前后端分离项目中仅开放部分接口的场景。
- 必须在
route/app.php中定义 HTTP/HTTPS 路由后链式调用：->allowCrossDomain()，写在闭包里、漏掉链式调用、或放在Route::group()外层都无效 - 不传参默认设
Access-Control-Allow-Origin: *；要限制来源，传数组：->allowCrossDomain(['https://admin.example.com', 'http://localhost:3000']) - 前端带 Cookie 或
Authorization头时（即fetch(credentials: 'include')），第二个参数必须为true：->allowCrossDomain(['https://example.com'], true)，否则浏览器静默拦截 - 该方法对
console或event类路由无效，别试图用它处理命令行任务
自定义 CorsMiddleware 为什么返回 405 或没头
90% 的失败源于没正确响应 OPTIONS 预检请求——ThinkPHP 默认不处理它，直接进路由匹配，若没定义对应路由就 404，若匹配到不支持 OPTIONS 的控制器就 405。
- 在
handle()方法**开头**加判断：if ($request->isOptions()) { return response('', 204); }，必须短路返回，不能走$next($request) -
204比200更规范，无响应体，避免代理或 CDN 对空内容做额外处理 - 响应头必须在
return $next($request)前设置，且优先级要高：把中间件类完整命名空间加到app/middleware.php全局中间件数组**首位** -
Access-Control-Allow-Methods必须包含实际用到的动词（如PUT、DELETE），且一定含OPTIONS；Access-Control-Allow-Headers要覆盖前端发的全部自定义头，比如Authorization、X-Requested-With、Content-Type
Access-Control-Allow-Origin 能不能写 * 还带凭证
不能。浏览器会直接拒绝，连预检都不发。二者互斥，选错就彻底失败。
- 前端设了
credentials: 'include'或xhrFields: { withCredentials: true }，后端就必须同时满足：Access-Control-Allow-Credentials: true+Access-Control-Allow-Origin是精确匹配的协议+域名（如https://a.com），不能是* - 生产环境强烈建议动态校验：
$origin = $request->header('Origin');，再用in_array($origin, $whitelist)判断，白名单必须是数组，不能是逗号分隔字符串 - 如果用了 Nginx 反向代理，
Origin头可能被吞掉，需在 Nginx 配置中显式透传：proxy_set_header Origin $http_origin; - ThinkPHP 自带的
think\middleware\Cors类不解析数组参数，像['origin' => ['https://a.com']]这种写法完全无效
为什么 header() 在控制器里写了也没用
ThinkPHP 的响应对象（json()、view()、response()）会在最终输出前重置所有手动写的 header()。哪怕你写在第一行，只要后续调用了框架响应构造函数，那些头大概率就丢了。
立即学习“PHP免费学习笔记（深入）”；
- 绝对不要在控制器方法里用原生
header()函数——它和 ThinkPHP 响应生命周期不兼容 - 如果硬要用，必须确保：没有输出、没开启 session、没调用任何框架响应构造函数，且在
exit前完成 - 更稳妥的做法是改用
response()->header()，它作用于框架的响应实例，不会被覆盖，但必须在return前调用，不能放在echo或dump()后面 - 别在控制器里手动设 CORS 头，否则会干扰全局中间件逻辑，导致中间件跳过注入（且不报错、不警告）
Origin 动态校验、OPTIONS 短路返回、以及反向代理透传这三个环节，任一遗漏都会让前面所有配置归零。 
