本文详解如何在 Apache 的 .htaccess 文件中正确设置 CORS 响应头，解决“Access-Control-Allow-Origin header is present”报错，避免因重复或错误命名 Header 导致的跨域失败。
本文详解如何在 apache 的 `.htaccess` 文件中正确设置 cors 响应头，解决“access-control-allow-origin header is present”报错，避免因重复或错误命名 header 导致的跨域失败。
在 Web 开发中，前端（如 Vue、React 或原生 JavaScript）通过 fetch 或 XMLHttpRequest 向 PHP 后端发起跨域请求时，若服务端未正确返回 CORS 相关响应头，浏览器将拦截响应并抛出经典错误：
Access to XMLHttpRequest at 'https://...' from origin 'https://...' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.
该错误的根本原因在于：服务端未在 HTTP 响应中提供合法且语义正确的 CORS 头。尤其在使用 Apache + .htaccess 配置时，常见误区是误将多个 Header set 指令全部指向 Access-Control-Allow-Origin，例如：
Header set Access-Control-Allow-Origin "*" # ✅ 正确（Origin） Header set Access-Control-Allow-Origin "PUT, POST..." # ❌ 错误！覆盖了上一行，且语义错误 Header set Access-Control-Allow-Origin "Accept, ..." # ❌ 错误！这不是 Origin 头
Access-Control-Allow-Origin 是一个单一值响应头，只能指定一个源（如 * 或 https://example.com），不可重复设置；而 PUT, POST... 属于 Access-Control-Allow-Methods，Accept, Authorization... 则属于 Access-Control-Allow-Headers。三者职责分明，不可混用。
立即学习“PHP免费学习笔记（深入）”；
✅ 正确的 .htaccess CORS 配置如下（建议置于
<IfModule mod_headers.c>
# 允许任意源访问（生产环境建议替换为具体域名，如 "https://your-frontend.com"）
Header set Access-Control-Allow-Origin "*"
# 允许的 HTTP 方法
Header set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
# 允许客户端发送的请求头字段
Header set Access-Control-Allow-Headers "Accept, Authorization, Content-Type, X-Requested-With"
# （可选）允许携带凭证（如 Cookie），此时 Access-Control-Allow-Origin 不可为 "*"
# Header set Access-Control-Allow-Credentials "true"
# （可选）预检请求缓存时间（单位：秒）
Header set Access-Control-Max-Age "86400"
</IfModule>⚠️ 重要注意事项：
- 确保 Apache 已启用 mod_headers 模块（Linux 常用命令：a2enmod headers && systemctl restart apache2）；
- 若后端 PHP 脚本自身已输出 CORS 头（如 header('Access-Control-Allow-Origin: *');），.htaccess 中的设置可能被覆盖或冲突，建议统一在一处管理；
- 生产环境中，*切勿长期使用 `Access-Control-Allow-Origin: ""配合Access-Control-Allow-Credentials: true`** —— 浏览器会直接拒绝该组合，必须指定明确的单个源；
- 对于 OPTIONS 预检请求，Apache 默认会返回 200 OK，但需确保路由规则（如您的 index.php 重写）不意外拦截或返回非 2xx 响应；必要时可添加显式处理：
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ - [R=200,L]最后，请使用 curl -I https://your-domain.com/api/endpoint 或浏览器开发者工具的 Network 面板验证响应头是否真实生效。正确配置后，跨域请求即可顺利通过浏览器 CORS 校验，实现前后端安全通信。
