跨域问题源于浏览器拦截而非PHP拒绝，需服务端正确响应CORS头。推荐Laravel用spatie/laravel-cors包、Symfony用NelmioCorsBundle、原生PHP手动校验Origin并处理OPTIONS、Apache用.htaccess、Nginx用map动态匹配Origin并统一注入头。
前后端分离开发中，前端请求PHP后端接口时被浏览器拦截报错“CORS header ‘Access-Control-Allow-Origin’ missing”，说明服务端未正确响应跨域协商——这不是PHP拒绝请求，而是浏览器因缺少必要响应头而主动丢弃响应内容。
用Laravel框架一键启用CORS
推荐使用官方维护的 spatie/laravel-cors 包，避免手写中间件遗漏OPTIONS处理或白名单校验漏洞。
第一步：执行安装命令 → composer require spatie/laravel-cors
第二步：发布配置文件 → php artisan vendor:publish --tag="cors"
立即学习“PHP免费学习笔记（深入）”；
第三步：编辑 config/cors.php，将 【'allowed_origins' => ['*'] 改为具体域名列表】，例如：['https://app.example.com', 'http://localhost:5173']。生产环境若保留 * 且启用了 credentials，请求将直接失败。
第四步：确保 'supports_credentials' => true 已开启（如需携带 Cookie 或 Token），同时前端 fetch 必须配 credentials: 'include'，否则后端下发的 PHPSESSID 不会被浏览器发送。
在Symfony中通过Bundle配置跨域
适合已集成 NelmioCorsBundle 的项目，规则集中、支持正则匹配，便于多环境切换。
方法一：修改 config/packages/nelmio_cors.yaml
取消注释并填写实际域名白名单，例如：allow_origin: ['^https?://(localhost|myapp\.com)$']。注意正则末尾的 $ 防止子域名泛匹配越权。
方法二：对特定路由组单独启用
在 config/routes.yaml 中为 API 路由添加 cors: true 标签，比全局配置更精准，避免管理后台等敏感路径意外暴露。
原生PHP脚本快速修复跨域
适用于无框架轻量接口、调试阶段或临时补丁，必须放在任何输出之前，否则 header() 会触发 “headers already sent” 错误。
① 获取 Origin 并校验是否在白名单内：
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
$allowed = ['https://admin.example.com', 'http://localhost:3000'];
② 仅当匹配成功才设置响应头：
if (in_array($origin, $allowed)) {
header("Access-Control-Allow-Origin: $origin");
header("Access-Control-Allow-Credentials: true");
header("Vary: Origin"); // 告知CDN按Origin缓存不同版本
}
③ 强制处理 OPTIONS 预检请求：
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { exit(); }
这一步操作起来很简单，直接把这段代码贴到 PHP 文件最顶部即可生效。但漏掉 【exit() 必须放在所有业务逻辑之前】，否则预检失败仍会执行后续代码，导致响应体污染，浏览器判定 CORS 协商失败。
Apache服务器统一注入CORS头
适合共享主机或无法修改PHP代码的场景，用 .htaccess 实现零侵入配置。
确认服务器已启用 mod_headers 模块 → 进入 API 所在目录 → 创建或编辑 .htaccess 文件。
写入以下三行：
Header set Access-Control-Allow-Origin "https://app.example.com"
Header set Access-Control-Allow-Methods "GET,POST,PUT,DELETE,OPTIONS"
Header set Access-Control-Allow-Headers "Content-Type,Authorization,X-Requested-With"
注意：Apache 2.4+ 才支持 Header 指令，旧版本需改用 mod_setenvif + mod_headers 组合方式。如果部署在虚拟主机且无权限启用模块，此方案不可用。
Nginx配置跨域响应头
生产环境推荐方式，性能更高、规则更稳定，避免每个PHP脚本重复判断Origin。
编辑站点 server 块，在 location ~ \.php$ 内添加：
add_header 'Access-Control-Allow-Origin' '$sent_http_access_control_allow_origin' always;
先用 map 指令动态映射 Origin（防止非法域名伪造）：
map $http_origin $cors_origin {
default "";
~^https?://(localhost|app\.example\.com)(:[0-9]+)?$ "$http_origin";
}
再在 server 块中添加：
add_header Access-Control-Allow-Origin $cors_origin always;
add_header Access-Control-Allow-Methods "GET, POST, OPTIONS" always;
add_header Access-Control-Allow-Credentials "true" always;
add_header Access-Control-Allow-Headers "Content-Type, Authorization" always;
最后为 OPTIONS 请求返回 204 状态码：
if ($request_method = 'OPTIONS') { return 204; }
