Webman中安全读取请求Header需配置Nginx/Apache透传（如fastcgi_param HTTP_AUTHORIZATION $http_authorization），响应Header必须通过response()->withHeader()设置，header()函数无效。
Webman里怎么安全读取请求Header
Webman底层用的是 Workerman 的 HTTP 协议栈，请求头最终都落在 $_SERVER 里，但不是所有头都能直接取到——尤其像 Authorization、X-Api-Key 这类自定义头，在 Nginx + PHP-FPM 环境下默认被过滤掉了。
常见错误是直接写 $_SERVER['HTTP_AUTHORIZATION'] 却返回 null，其实问题出在 Web 服务器没把头透传给 PHP。
- Nginx 配置需加：
fastcgi_param HTTP_AUTHORIZATION $http_authorization;（放在location ~ \.php$块内） - Apache 下若用
mod_rewrite，要确保RewriteCond %{HTTP:Authorization} .++RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}] - 自定义头如
X-Request-ID，统一转成$_SERVER['HTTP_X_REQUEST_ID']，注意下划线替代短横线、全大写 - 不推荐依赖
getallheaders()：它在 PHP-FPM 下不可用，Webman 默认运行环境就是 FPM，调用会报undefined function
Webman中设置响应Header的正确姿势
Webman 的响应对象是 Webman\Http\Response，它继承自 Workerman 的原生 Response，所有 header 必须通过该对象链式设置，header() 函数完全无效——哪怕没报错，也压根不会出现在实际响应里。
比如你想加一个 X-RateLimit-Remaining 头，不能这么写：
立即学习“PHP免费学习笔记（深入）”；
header('X-RateLimit-Remaining: 99');而应该在路由或中间件里返回带 header 的 Response 实例：
return response($data)->withHeader('X-RateLimit-Remaining', '99');-
withHeader()是覆盖式写入，重复调用同名头会覆盖前值 - 若需追加多个
Set-Cookie，得用withAddedHeader()，否则后一个会干掉前一个 - 状态码必须在构造时或用
withStatus()显式设定，http_response_code(429)对 Webman 响应对象无影响 - Content-Type 推荐在构造 Response 时一并指定：
response('', 200, ['Content-Type' => 'application/json; charset=utf-8'])
为什么 Webman 不吃 header() 函数
因为 Webman 在收到请求后，会立即创建一个 Response 对象并接管整个输出流程。PHP 原生的 header() 是向 SAPI（如 FPM）直接写入响应头缓冲区，但 Webman 已绕过该机制，改用内存中构建完整响应再一次性发送。
所以你调用 header() 后既不会报错，也不会生效——它被静默忽略了。这种设计提升了控制权和可测试性，但也意味着旧习惯必须切换。
- 调试时可用
var_dump($response->getHeaders())查看当前已设置的响应头 - 中间件里修改响应头，必须 return 新的 Response 实例，不能只调用
withHeader()而不 return - 全局统一头（如
X-Powered-By）适合放在中间件里统一注入，避免每个路由重复写
跨域（CORS）头在 Webman 中的坑点
只设 Access-Control-Allow-Origin: * 很容易，但一旦前端带了 Credentials: true 或自定义头（如 Authorization），* 就不合法，必须动态回写 Origin 值，且不能省略 Access-Control-Allow-Credentials: true。
更隐蔽的问题是：Webman 默认不自动处理预检（OPTIONS）请求，如果你没显式注册 OPTIONS 路由或中间件拦截，浏览器发来的预检会被 404 —— 此时即使响应头全对，CORS 依然失败。
- 简单方案：在中间件里判断
$request->method() === 'OPTIONS'，直接return response()->withStatus(200)并塞上全部 CORS 头 -
Access-Control-Allow-Headers必须明确列出前端实际发送的头，比如用了X-Api-Token，就得写进这个头里，不能靠* - 别漏掉
Vary: Origin，否则 CDN 或代理可能缓存错跨域响应
Webman 的请求头读取和响应头设置，核心就两点：头能不能传进来，取决于 Web 服务器配置；头能不能发出去，取决于你有没有用对 Response 对象的方法。绕开这两条线，其他技巧都是临时补丁。
