ThinkPHP 8.0需手动配置CORS，推荐使用topthink/think-cors插件或自定义中间件，核心是正确设置Access-Control-Allow-Origin等响应头并规范处理OPTIONS预检请求，严禁credentials与*混用。
ThinkPHP 8.0 默认不自动处理跨域，前后端分离项目中只要前端域名和后端 API 域名不一致（协议、域名、端口任一不同），浏览器就会拦截响应并报 CORS 错误。解决的核心不是“屏蔽错误”，而是让后端正确返回浏览器认可的跨域响应头，并妥善应对 OPTIONS 预检请求。
用官方推荐插件：topthink/think-cors
这是最规范、可维护性最强的方式，尤其适合团队协作或生产环境。
- 执行安装命令：
composer require topthink/think-cors（需 PHP 8.0+） - 安装后自动生成配置文件
config/cors.php，关键项建议按需调整：
注意：'paths' => ['*'] 表示对所有路由生效；若只开放 API 接口，可改为 ['api/*', 'v1/*'] 等更精确的路径匹配。
- 若前端携带 Cookie 或 Token（即
credentials: 'include'），必须将'allowed_origins'改为具体域名数组，例如：['https://admin.example.com', 'http://localhost:5173']，同时保留'supports_credentials' => true - 确保该中间件已注册为全局中间件：检查
app/middleware.php中是否包含\think\middleware\AllowCrossDomain::class（插件自带）或你自定义的 CORS 中间件类
手写中间件（灵活可控，推荐调试/轻量项目）
当插件配置不生效或需要动态校验 Origin 时，可新建中间件类，例如 app/middleware/CorsMiddleware.php：
立即学习“PHP免费学习笔记（深入）”；
- 核心逻辑是操作
$response对象，而非直接调用header()（否则会被框架覆盖） - 对 OPTIONS 请求无需单独 exit，只需统一设置响应头并返回 204 状态码即可
- 示例关键代码片段：
开发阶段（允许任意源）：$response->header('Access-Control-Allow-Origin', '*')<br>
->header('Access-Control-Allow-Credentials', 'true')<br>
->header('Access-Control-Allow-Methods', 'GET,POST,PUT,DELETE,OPTIONS')<br>
->header('Access-Control-Allow-Headers', 'Content-Type,Authorization,X-Requested-With')
生产阶段（必须白名单校验）：
读取 $request->header('origin')，比对预设数组，匹配成功才写入该 Origin，并添加 Vary: Origin 头以支持 CDN 缓存区分
入口文件临时方案（仅限快速验证）
若调试阶段急需通路，可直接在 public/index.php 顶部添加（务必放在所有输出之前）：
- 设置响应头：
header("Access-Control-Allow-Origin: *");等必需字段 - 显式拦截 OPTIONS 请求：
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { exit(0); } - ⚠️ 此方式绕过框架生命周期，不适合长期使用，上线前必须替换为中间件方案
关键避坑提醒
以下错误非常常见，直接影响是否真正生效：
-
Credentials 和 * 冲突：前端设了
credentials: 'include'，后端却用Access-Control-Allow-Origin: *→ 浏览器直接拒绝，必须指定具体 Origin -
响应头被覆盖：在中间件里用原生
header()而非$response->header()→ 框架后续响应会清空或覆盖这些头 - OPTIONS 未正确响应：没返回 204 状态码或缺失必要头（如 Allow-Methods），导致预检失败，后续请求根本发不出
- 缓存干扰：本地测试时浏览器可能缓存了旧的 OPTIONS 响应，可尝试无痕窗口或清除网络缓存再试
