ThinkPHP在Nginx下跨域问题有五种解决方法：一、禁用Nginx跨域头，由ThinkPHP中间件统一处理；二、Nginx拦截OPTIONS预检并返回204，PHP处理正式请求头；三、Nginx直接添加全量CORS响应头；四、自定义ThinkPHP中间件实现动态白名单控制；五、路由级调用allowCrossDomain方法精确控制跨域来源。
如果您在使用ThinkPHP开发Web应用时，前端请求被浏览器拦截并提示跨域错误，而服务端部署在Nginx环境下，则很可能是Nginx与ThinkPHP的CORS配置发生冲突或未协同生效。以下是解决ThinkPHP在Nginx下跨域问题的多种配置方法：
一、禁用Nginx跨域头，仅由ThinkPHP中间件处理
该方法适用于已启用ThinkPHP官方Cors中间件且希望逻辑完全由PHP层控制的场景，可避免响应头重复设置导致的「multiple values」错误。核心是确保Nginx不干预CORS响应头，所有头均由中间件统一注入。
1、打开Nginx服务器配置文件（如nginx.conf或站点conf），定位到对应server块内的location /段落。
2、删除所有以add_header Access-Control-开头的指令，包括Access-Control-Allow-Origin、Access-Control-Allow-Methods等。
立即学习“PHP免费学习笔记（深入）”；
3、确认未启用ngx_http_cors_module模块，检查配置中无load_module modules/ngx_http_cors_module.so语句。
4、在location ~ \.php$块中，确保fastcgi_param部分未额外添加header相关参数，避免通过FastCGI透传污染响应。
5、重启Nginx服务：sudo nginx -s reload。
二、Nginx统一处理预检请求，ThinkPHP仅处理业务响应头
该方法将OPTIONS预检请求完全交由Nginx拦截并返回204，避免ThinkPHP路由未匹配导致的404或500错误；同时保留PHP层对正式请求的响应头控制权，提升稳定性与兼容性。
1、在server块内location /作用域中添加预检请求拦截规则：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin https://your-frontend-domain.com; add_header Access-Control-Allow-Methods GET, POST, PUT, DELETE, OPTIONS; add_header Access-Control-Allow-Headers Content-Type, Authorization, X-Requested-With, X-Auth-Token; add_header Access-Control-Allow-Credentials true; add_header Access-Control-Max-Age 86400; add_header Access-Control-Expose-Headers *; return 204; }
2、在同级location /中，确保后续PHP转发规则不覆盖上述头信息，例如使用try_files或rewrite时保持add_header指令位于最外层。
3、在ThinkPHP中配置全局中间件（如app/middleware.php），仅添加正式请求所需的响应头，例如Access-Control-Allow-Origin需与Nginx中一致，且不能为*（若启用credentials）。
4、验证OPTIONS请求是否返回204状态码及完整头信息：curl -I -X OPTIONS http://your-api.com/api/test。
三、在Nginx中直接添加全量CORS响应头
该方法适用于无需动态白名单、项目结构简单、且不依赖ThinkPHP中间件的轻量部署场景。所有跨域头均由Nginx注入，不经过PHP执行流程，性能开销最低。
1、在server或location块中添加以下四条add_header指令：
add_header Access-Control-Allow-Origin https://localhost:3000;
add_header Access-Control-Allow-Methods GET, POST, PUT, DELETE, OPTIONS;
add_header Access-Control-Allow-Headers Content-Type, Authorization, X-Requested-With;
add_header Access-Control-Allow-Credentials true;
2、若需支持多个前端域名，不可使用*通配符配合credentials，应改用Nginx变量动态匹配，例如：
if ($http_origin ~* ^(https?://(localhost:3000|admin.example.com|app.test)$)) { add_header Access-Control-Allow-Origin $http_origin; }
3、确保add_header指令位于所有可能终止请求的指令（如return、error_page）之后，且未被嵌套if覆盖。
4、注意add_header默认不继承父级作用域，子location需显式重写，否则头信息可能丢失。
四、自定义ThinkPHP中间件并注册至全局
该方法绕过ThinkPHP内置Cors类的限制（如不自动处理OPTIONS、白名单硬编码等），通过手写中间件实现完全可控的跨域逻辑，适用于复杂白名单、子域通配、Header动态校验等需求。
1、执行命令php think make:middleware AllowCrossDomain生成中间件类文件。
2、编辑app/middleware/AllowCrossDomain.php，在handle方法中插入以下逻辑：
if ($request->isOptions()) { $response = response('', 204); $response->header('Access-Control-Allow-Origin', $this->getOrigin($request)); $response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS'); $response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With'); $response->header('Access-Control-Allow-Credentials', 'true'); return $response; }
3、在同文件中定义getOrigin方法，从$http_origin读取并比对白名单数组，匹配成功则返回该origin，否则返回null或抛出异常。
4、将\app\middleware\AllowCrossDomain::class添加至app/middleware.php的全局中间件数组首位。
5、确保该中间件在所有其他业务中间件之前执行，防止提前中断响应链。
五、路由级启用allowCrossDomain并显式指定来源
该方法适用于仅对特定API分组启用跨域、且需严格限制来源的场景，具备最高粒度控制能力，不侵入全局逻辑，适合微服务化接口治理。
1、在route/app.php中定义API路由分组时，链式调用allowCrossDomain()方法：
Route::group('api', function () { Route::get('user', 'api.User/index'); })->allowCrossDomain(['https://admin.example.com', 'https://mobile.example.com'], true);
2、确认该调用位于路由闭包之后、分组定义结束前，语法结构为：->allowCrossDomain([...], true)。
3、若前端携带Cookie，必须传入第二个参数true以启用凭证支持，且白名单中不可包含*，必须为明确协议+域名+端口组合。
4、检查该路由分组未被其他中间件（如AuthMiddleware）提前终止，否则allowCrossDomain绑定将不生效。
