ThinkPHP升级后跨域失效主因是新版本调整了响应头写入时机、中间件顺序及JSON封装逻辑：Cors中间件须置顶，header必须用$response->header()且在$next()之后立即设置；带凭证时需动态匹配Origin并禁用*通配符，同时显式声明Content-Type防止被重置。
升级ThinkPHP后跨域设置突然失效，是因为新版本对响应头写入时机、中间件执行顺序、JSON输出封装逻辑做了调整，旧版中间件中用header()函数或在$next()之后设header的方式会被框架自动覆盖，导致Access-Control-Allow-Origin等关键头丢失。
检查中间件是否被跳过或执行顺序错位
打开app/middleware.php文件，确认Cors中间件类是否仍位于数组最前面；ThinkPHP 8.1+默认启用多层中间件栈，若Cors类排在日志、JWT验证等中间件之后，其header()调用可能被后续中间件重置或拦截。
执行php think route:list命令，查看目标接口路由是否命中了你配置的中间件组；升级后路由注册方式变更（如从闭包路由改为控制器方法绑定），可能导致中间件未实际绑定到该路由。
【必须将\app\middleware\Cors::class置于middleware.php数组首位】，其他中间件（如AuthMiddleware、LogMiddleware）一律放在它之后。
立即学习“PHP免费学习笔记（深入）”；
替换header()为$response->header()并前置注入
进入app/middleware/Cors.php，删除所有原生header()调用，改用响应对象方法。
在handle()方法中，把原本写在return $next($request)之后的header设置，全部移到$response = $next($request)之前——否则框架在构造响应体时已固化header，后续调用无效。
正确写法示例：先拦截OPTIONS → 执行$next → 立即对$response调用header() → 最后return。不能颠倒顺序，也不能用echo、var_dump等任何输出干扰响应流。
强制禁用框架JSON自动头重置
第一步：找到所有使用return json($data)或response()->json($data)的地方。
第二步：在对应控制器方法顶部添加一行：\think\Response::mimeType('application/json', 'utf-8');，确保MIME类型在JSON封装前锁定。
第三步：将return json($data)替换为return response()->json($data)->header('Content-Type', 'application/json; charset=utf-8');，显式声明头，防止框架在输出阶段覆盖。
这一步不改，即使中间件写了Access-Control-Allow-Origin，框架内部也会在json()方法里重置Content-Type为text/html，导致前端fetch解析失败。
动态匹配Origin并启用Credentials支持
方法一：若前端带Cookie或Authorization头，必须停用Access-Control-Allow-Origin: *写法。
方法二：在Cors中间件中读取请求头origin值：$origin = $request->header('origin');，再判断是否在白名单内（如['https://admin.example.com', 'http://localhost:3000']），仅匹配成功时才写入$response->header('Access-Control-Allow-Origin', $origin)。
方法三：同时添加$response->header('Access-Control-Allow-Credentials', 'true')，否则浏览器拒绝携带凭证的请求。
注意：只要启用了Credentials，Access-Control-Allow-Origin就绝不能是*，哪怕只漏写一个域名，整个跨域流程都会中断。
