CorsMiddleware 没生效的主因是注册顺序错误，必须置于 BindMiddleware 和 SessionMiddleware 之后、业务中间件之前；同时需确保路由支持 OPTIONS 方法，并避免 Nginx 与 PHP 层 CORS 头冲突。
为什么 CorsMiddleware 没生效？检查中间件注册顺序
ThinkPHP 的 CORS 校验依赖中间件执行时机，CorsMiddleware 必须在路由解析之后、控制器执行之前运行，否则预检请求（OPTIONS）可能被路由拦截或跳过校验。
常见错误是把 CorsMiddleware 放在全局中间件最前面，导致它在 SessionMiddleware 或 BindMiddleware 之前执行，从而拿不到正确的路由信息或请求上下文。
- 正确做法：在
app/middleware.php中，将CorsMiddleware放在BindMiddleware和SessionMiddleware之后，但早于业务中间件 - 如果使用分组路由，也可在路由定义时单独绑定：
Route::group(['middleware' => ['cors']]) - 验证是否生效：用
curl -I -X OPTIONS http://your-api.com/api/test查看响应头是否含Access-Control-Allow-Origin
如何配置允许任意域名但禁止携带凭证？setAllowCredentials(false) 是关键
前端调用带 withCredentials: true 时，后端必须返回 Access-Control-Allow-Credentials: true，但此时 Access-Control-Allow-Origin 不能为 * —— 这是浏览器硬性限制。很多开发者卡在这一步，反复刷新发现跨域报错却查不出原因。
ThinkPHP 默认的 CorsMiddleware 配置若未显式关闭凭据支持，又设了 'origin' => '*'，就会触发冲突。
立即学习“PHP免费学习笔记（深入）”；
- 安全且兼容的做法：明确设置
'allow_credentials' => false，同时'origin' => ['http://localhost:3000', 'https://example.com'] - 若必须支持凭据，
origin必须是具体域名列表，不能含通配符；且中间件中需调用$this->setAllowCredentials(true) - 注意：Nginx/Apache 层也有可能覆盖响应头，优先确认 PHP 层已输出正确头再排查 Web 服务器配置
preflight 请求被 404 或 405？检查路由是否匹配 OPTIONS 方法
浏览器发起跨域请求前会先发一个 OPTIONS 预检，ThinkPHP 默认不自动注册 OPTIONS 路由，如果路由规则没覆盖该方法，就会落到 404 或被拒绝（405 Method Not Allowed）。
这不是中间件问题，而是路由层缺失处理路径。
- 手动补全：在对应路由中显式声明
OPTIONS，例如Route::rule('api/user', 'api.User/index')->allowCrossDomain()->method('GET,POST,OPTIONS') - 更省事的方式：在
CorsMiddleware的handle()方法开头加一句if ($request->isOptions()) return response('', 204)->header($this->getHeaders()); - 别依赖「自动放行所有 OPTIONS」—— ThinkPHP 不提供这个行为，不写就是 404
生产环境 Nginx + ThinkPHP 双重头设置时，谁生效？优先级和覆盖逻辑
Nginx 的 add_header 默认不继承父块，且对 204/304 响应不生效；而 PHP 输出的响应头在 FastCGI 通信中会被 Nginx 接收并可能覆盖。结果就是本地测试 OK，上线后 CORS 失效。
典型冲突：Nginx 配了 add_header Access-Control-Allow-Origin *;，但 PHP 中又设了具体域名，最终响应里只留了一个。
- 建议策略：只在 PHP 层统一控制 CORS 头，Nginx 配置中移除所有
add_header Access-Control-* - 如必须用 Nginx 控制，需加
always参数：add_header Access-Control-Allow-Origin "*" always;，否则 204 响应无头 - 验证方式：用
curl -v看原始响应头，不要只信浏览器开发者工具的「Headers」面板（它有时会隐藏被覆盖的头）
