ThinkPHP 8项目需配置CORS解决跨域问题，推荐使用topthink/think-cors插件一键启用；若需动态控制，可手写CorsMiddleware中间件并置于中间件数组首位；也可通过路由链式调用allowCrossDomain方法实现精准控制。
前端请求被浏览器拦截并提示“No 'Access-Control-Allow-Origin' header is present”，说明ThinkPHP 8项目未正确响应CORS协议，必须让后端在HTTP响应中携带合法的跨域头，并主动处理OPTIONS预检请求，否则真实接口根本不会发出。
用官方插件topthink/think-cors一键启用
这是生产环境最稳妥的选择，配置集中、可维护性强，且自动适配ThinkPHP 8.0+生命周期。
执行安装命令：composer require topthink/think-cors
安装完成后，框架自动生成config/cors.php配置文件。打开该文件，重点修改以下三项：
立即学习“PHP免费学习笔记（深入）”；
【'paths' => ['api/*']】：把通配符['*']改为精确路径，例如只开放API接口，避免静态资源或管理后台路由也被跨域暴露。
【'allowed_origins' => ['https://admin.example.com', 'http://localhost:5173']】：若前端fetch设置了credentials: 'include'（如带Cookie或Token），此处绝不能写['*']，必须列明具体协议+域名+端口，否则浏览器直接拒绝响应。
确认app/middleware.php中已注册该中间件：\think\middleware\AllowCrossDomain::class需出现在全局中间件数组首位，确保它最早执行、最晚结束。
手写CorsMiddleware中间件（调试/轻量项目首选）
当你需要动态校验Origin、或插件配置不生效时，手写中间件更可控。它绕过插件抽象层，直击响应对象。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
第一步：运行命令生成中间件文件：php think make:middleware CorsMiddleware
第二步：打开app/middleware/CorsMiddleware.php，清空handle方法内容，填入以下逻辑：
if ($request->isOptions()) {
return response('', 204)
->header('Access-Control-Allow-Origin', $request->header('origin') ?: '*')
->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS')
->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With')
->header('Access-Control-Allow-Credentials', 'true');
}
第三步：在return $next($request)之前插入响应头设置——这一步顺序不能错，【header()必须在$next($request)调用前完成，否则已被框架内部输出覆盖】。
第四步：将\app\middleware\CorsMiddleware::class添加到app/middleware.php的中间件数组最顶部，确保它优先于日志、异常等中间件执行。
路由级精准控制（仅对特定API开放跨域）
适合多端共用一个后端、但只允许管理后台跨域，而小程序、H5页面走Nginx反代的场景。
方法一：打开route/app.php，找到HTTP路由定义区，在某条路由末尾直接链式调用：Route::get('api/user/info', 'api/User@info')->allowCrossDomain(['https://admin.example.com'], true);
方法二：对整个API分组统一控制，避免逐条写——用Route::group()包裹所有API路由，再在外层链式调用：Route::group('api/v1', function () { Route::get('users', 'api/User@index'); })->allowCrossDomain(['http://localhost:3000'], true);
注意：该方法仅作用于HTTP路由，console或event路由无效；【若传true启用凭据支持，allowed_origins绝对不可为*，否则浏览器静默失败】。
