ThinkPHP 8.0跨域必须后端响应OPTIONS预检并设置合法CORS头，Route::group()->allowCrossDomain()需链式调用在分组末尾且白名单+true启用凭证，CorsMiddleware须开头拦截OPTIONS返回204并动态校验Origin。
ThinkPHP 8.0 默认不处理跨域，前端发请求只要协议、域名、端口任一不同，浏览器就会卡在 OPTIONS 预检阶段或报 No 'Access-Control-Allow-Origin' header is present 错误——这不是前端能绕开的问题，必须后端正确响应预检并设置合法 CORS 头。
Route::group()->allowCrossDomain() 怎么写才生效
这个方法只对 HTTP 路由生效，且必须链式调用在分组定义末尾，不能嵌套在条件判断或额外闭包里。
-
Route::group('api/v1', function () { /* 路由定义 */ })->allowCrossDomain(['https://admin.example.com', 'http://localhost:3000'], true);—— 白名单数组 +true表示启用凭证（如 Cookie），此时Access-Control-Allow-Origin会动态取请求头的Origin值，匹配成功才返回 - 如果漏掉第二个参数
true，但前端又设置了credentials: 'include'，浏览器直接拒绝，不报错也不走后续逻辑 - 传
*当白名单（比如->allowCrossDomain(['*'])）等同于->allowCrossDomain()，仍会设Access-Control-Allow-Origin: *，但和credentials: true冲突，绝对不能混用 - 该配置不会影响 console 或 event 路由，只作用于当前分组内所有 HTTP 请求路径
CorsMiddleware 中间件怎么拦截 OPTIONS 并返回 204
中间件必须在 $request->isOptions() 为真时立即返回响应，否则框架继续执行后续逻辑，可能触发 405 或静默失败。
- 在
app/middleware/CorsMiddleware.php的handle()方法开头写：if ($request->isOptions()) { return response('', 204)->header('Access-Control-Allow-Origin', $origin)->header('Access-Control-Allow-Methods', 'GET,POST,PUT,DELETE,OPTIONS')->header('Access-Control-Allow-Headers', 'Authorization,Content-Type,X-Requested-With')->header('Access-Control-Allow-Credentials', 'true'); } -
$origin必须从$request->header('origin')动态获取，并校验是否在白名单数组中（如config('cors.allow_origins')），不匹配就不要设Access-Control-Allow-Origin，避免泄露 - 不能在
return $next($request)之后再设 header，响应体已生成，$response->header()无效 - 若用 Swoole 或 Workerman，
header()函数不可用，必须统一用$response->header()
为什么前端带 credentials 就一直失败
这是浏览器强制规则：只要请求带 credentials: 'include'（或 'same-origin'），后端就必须同时满足两个条件，缺一不可。
立即学习“PHP免费学习笔记（深入）”；
-
Access-Control-Allow-Origin不能是*，必须精确等于请求头中的Origin字符串（含协议、域名、端口） -
Access-Control-Allow-Credentials必须显式设为true，且不能省略 - 前端发请求时，
fetch或axios必须明确写credentials: 'include'，否则 Cookie 不会自动带上 - 后端白名单配置里漏了
http://localhost:3000（开发环境常用），但写了http://127.0.0.1:3000，这两个不算同一个源，会匹配失败
public/index.php 里硬写 header 是最后手段吗
是，但仅限调试或极简部署场景。它绕过框架生命周期，无法做 Origin 白名单校验，也难维护。
- 在
public/index.php开头加：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('Access-Control-Allow-Origin: ' . ($_SERVER['HTTP_ORIGIN'] ?? '*')); header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS'); header('Access-Control-Allow-Headers: Authorization,Content-Type,X-Requested-With'); header('Access-Control-Allow-Credentials: true'); http_response_code(204); exit; } - 注意：这段代码必须放在
require __DIR__ . '/../thinkphp/start.php';之前，否则框架已启动，header 已发送 - 不能依赖
header()函数返回值做判断，PHP 的 header 发送是单向的，一旦输出 HTML 或空白字符就失效 - 生产环境不建议用，尤其当有多个前端域名时，无法区分来源，容易被滥用
最易忽略的点是：OPTIONS 请求没被拦截，导致框架路由找不到对应 handler，最终返回 404 或 405；而浏览器看到没有 CORS 头，就直接拦住后续请求——你根本看不到真实接口的错误，问题卡在预检这一步。所以先确认 OPTIONS 是否被正确响应，再查 Origin 匹配逻辑。
