PHP本身不拦截跨域请求，浏览器同源策略才是拦截主体；需在响应头中正确设置Access-Control-Allow-Origin等CORS字段，并严格处理OPTIONS预检、避免header输出前置、区分开发与生产环境的域名白名单。
PHP 上传音频时本身不“防止”跨域请求——浏览器才决定是否拦截；你要做的是让跨域上传合法通过，同时避免安全漏洞。
为什么上传音频会触发跨域报错
前端用 fetch 或 XMLHttpRequest 向 PHP 接口（比如 /upload.php）提交音频文件时，只要协议、域名、端口与当前页面不一致，浏览器就会启动同源策略检查。如果 PHP 响应里没带正确的 CORS 头，哪怕文件真传上去了，前端也收不到成功响应，控制台报类似：
Access to fetch at 'https://api.example.com/upload.php' from origin 'https://web.example.com' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.
注意：PHP 脚本其实已经执行完了（文件可能已写入），但浏览器拒绝把响应交给 JavaScript。
上传音频必须配全的 CORS 响应头
音频上传通常不是“简单请求”：它用 POST + multipart/form-data，且常带自定义头（如 Authorization 或 X-Requested-With），所以浏览器一定会发 OPTIONS 预检。只加 Access-Control-Allow-Origin 不够。
立即学习“PHP免费学习笔记（深入）”；
-
Access-Control-Allow-Origin必须匹配前端域名；若前端用了credentials: 'include'（比如传 Cookie），就不能用*，得写具体值，例如https://web.example.com -
Access-Control-Allow-Methods至少包含POST和OPTIONS；如果前端还可能用PUT上传，也要加上 -
Access-Control-Allow-Headers必须覆盖前端实际发送的头，常见有：Content-Type、Authorization、X-Requested-With；Content-Type即使是默认值也得显式声明 - 上传成功后返回的响应体（如 JSON）也要带这些头，不能只在预检响应里加
PHP 文件开头必须这样写（避开 headers already sent）
很多上传失败，是因为 header() 调用晚了——前面有空格、BOM、echo、session_start() 或 ob_start() 之后才设头。正确姿势：
- 确认文件编码是 UTF-8 无 BOM（VS Code 右下角看，点开可转）
-
header()放在最顶部，紧贴<?php，前面不能有任何输出（包括空行） - 如果用了
session_start()，必须放在所有header()之前 - 不要依赖框架自动处理——ThinkPHP 的
AllowCrossDomain中间件默认不处理文件上传的响应头，需手动补或重写响应对象
示例（upload.php 开头）：
<?php
$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
$allowed = ['https://web.example.com', 'https://staging.web.example.com'];
if (in_array($origin, $allowed)) {
header("Access-Control-Allow-Origin: $origin");
header('Vary: Origin');
}
header('Access-Control-Allow-Methods: POST, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
header('Access-Control-Allow-Credentials: true');
header('Access-Control-Max-Age: 86400');
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
http_response_code(200);
exit;
}
// 后续才是 move_uploaded_file() 等逻辑
Web 服务器配置比 PHP 更可靠（尤其 Nginx/Apache）
PHP 的 header() 容易被缓存、反代或框架中间件覆盖。更稳的方式是在 Nginx 或 Apache 层统一加头，且确保 always 生效：
- Nginx：用
add_header ... always;，否则 301/302 响应不会带 CORS 头 - Apache：用
Header set ... "always"，并确认启用了mod_headers - 务必放行
OPTIONS请求：Nginx 加if ($request_method = 'OPTIONS') { add_header ...; return 200; }；Apache 加RewriteCond %{REQUEST_METHOD} OPTIONS+RewriteRule - 如果 PHP 运行在 Docker 或反向代理后，还要检查代理是否清除了原始头
真实坑点：Safari 和 iOS WebKit 对 Vary: Origin 敏感，不加可能导致缓存污染，同一个响应被错误复用到不同源的请求上。
