用NelmioCorsBundle是Symfony 6最稳妥的CORS方案，但需确保paths精确匹配请求路径、allow_methods显式列出所有方法、allow_origin与allow_credentials正确搭配（禁用*通配符），并清除prod缓存及验证请求是否真正到达Symfony层。
用 NelmioCorsBundle 是 Symfony 6 中最稳妥的 CORS 配置方式，但配置稍有偏差（比如 paths 没覆盖真实路径、allow_origin 和 allow_credentials 搭配错误），就会导致 OPTIONS 预检失败、405 错误或前端收不到响应头。
安装与启用 NelmioCorsBundle
三步完成接入：
- 执行
composer require nelmio/cors-bundle - 检查
config/bundles.php是否已自动注册：Nelmio\CorsBundle\NelmioCorsBundle::class => ['all' => true]（Symfony 6 默认会自动加载，若无则手动添加） - 创建
config/packages/nelmio_cors.yaml，开始写规则
paths 和 allow_methods 必须显式匹配真实请求
浏览器预检是否通过，取决于路径和方法是否被准确覆盖：
-
paths必须正则匹配实际请求路径。例如前端调用/api/v1/users，而配置里只写了^/api/，那/api/v1/users就能命中；但如果写成^/v1/，就完全不生效 -
allow_methods在 Symfony 6 中已禁用['*']，必须明确列出：['GET', 'POST', 'PUT', 'PATCH', 'DELETE', 'OPTIONS'] -
allow_headers至少包含Content-Type和X-Requested-With；若前端带Authorization或X-Api-Version，也得加进去
allow_origin 与 allow_credentials 的搭配陷阱
这是最容易踩坑的地方：
- 如果设了
allow_credentials: true，allow_origin就不能是['*']，必须指定具体域名列表，如['http://localhost:5173', 'https://app.example.com'] - 开发时建议用数组形式写多个本地地址，避免因端口不同（
localhost:5173→localhost:8000）被拦截 - 生产环境严禁
allow_origin: ['*']与allow_credentials: true同时开启，浏览器会直接丢弃响应
缓存、代理与调试验证链路
配置在 dev 正常、prod 失效，大概率是缓存或请求没真正到达 Symfony：
- 修改
nelmio_cors.yaml后，prod 环境务必运行php bin/console cache:clear --env=prod - 若用 Nginx / Docker，先确认请求真到了 Symfony 层——可在
CorsListener::onKernelRequest里加dump('cors hit');验证 - 打开浏览器开发者工具 → Network → 点开 OPTIONS 请求 → 查看 Response Headers 是否含
Access-Control-Allow-Origin等字段 - 控制台报错
The value of the 'Access-Control-Allow-Origin' header must not be the wildcard '*'，说明前端设置了credentials: 'include'，但后端仍用了*
真正的难点不在写几行 YAML，而在理解哪一层（浏览器、反向代理、Symfony 内核）截断了预检或响应头；每次改完配置，都要从 OPTIONS 请求开始逐层验证，而不是只盯着文件本身。
