Apache配置CORS需三步：启用mod_headers模块、添加Access-Control-Allow-Origin等响应头、处理OPTIONS预检请求；缺一不可，尤其在带Cookie或自定义Header时。

在 Apache 中配置 CORS 头部，核心是三步：启用 mod_headers 模块、添加正确的响应头、处理 OPTIONS 预检请求。跳过任一环节都可能导致跨域失败，尤其在带 Cookie 或自定义 Header 的场景下。

确认并启用 mod_headers 模块

Apache 默认不加载该模块，Header 指令会直接失效。

• 检查是否已启用：
  apache2ctl -M | grep headers（Debian/Ubuntu）或
  httpd -M | grep headers（RHEL/CentOS）
• 若无输出，需启用：
  Debian/Ubuntu 执行 sudo a2enmod headers；
  RHEL/CentOS 编辑 /etc/httpd/conf/httpd.conf，取消注释：
  LoadModule headers_module modules/mod_headers.so
• 修改后必须重启服务：sudo systemctl restart apache2 或 sudo systemctl restart httpd

在合适位置写入 CORS 响应头

推荐优先使用虚拟主机（<VirtualHost>）或目录（<Directory>）配置，比 .htaccess 更可靠、权限更可控。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 基础配置示例（开发环境可接受）：
  

  <IfModule mod_headers.c><br>  Header always set Access-Control-Allow-Origin "*"<br>  Header always set Access-Control-Allow-Methods "GET, POST, OPTIONS"<br>  Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"<br>  Header always set Access-Control-Max-Age "86400"<br></IfModule>

• 生产环境务必替换通配符：
  Access-Control-Allow-Origin "https://your-frontend.com"（不能与 Access-Control-Allow-Credentials true 共存于 *）
• 如需支持凭据（如 Cookie），请改用具体域名，并添加：
  Header always set Access-Control-Allow-Credentials "true"
  同时建议加上：Header append Vary Origin，避免缓存混淆

必须响应 OPTIONS 预检请求

前端发送含 Authorization、Content-Type: application/json 或自定义 Header 的请求时，浏览器会先发 OPTIONS 请求。Apache 默认不返回 200，导致请求卡死。

• 推荐方案：启用 mod_rewrite 并在同级配置块中添加：
  

  RewriteEngine On<br>RewriteCond %{REQUEST_METHOD} OPTIONS<br>RewriteRule ^(.*)$ $1 [R=200,L]

• 替代方案（轻量）：确保访问控制未拦截 OPTIONS，加一行：
  Require all granted（放在 <Directory> 或 <Location> 内）
• 注意：.htaccess 中的配置受 AllowOverride 限制，若服务器禁用了 FileInfo，则无法生效

验证与调试小技巧

配置生效后，用 curl 快速验证响应头是否正确返回：

• 检查简单请求头：curl -I -H "Origin: https://test.com" http://your-api.com/endpoint
• 模拟预检请求：curl -I -X OPTIONS -H "Origin: https://test.com" -H "Access-Control-Request-Method: POST" -H "Access-Control-Request-Headers: Content-Type" http://your-api.com/endpoint
• 浏览器开发者工具 Network 标签页中查看响应头，重点关注 Access-Control-Allow-Origin 是否匹配、是否缺失 Access-Control-Allow-Headers 等字段