PHP分页函数本身不处理跨域，跨域成败取决于响应头配置：必须在输出前统一设置Access-Control-Allow-Origin（生产环境禁用*）、Content-Type、Allow-Credentials（如需凭据）及预检头，且需校验分页参数防注入。
PHP分页函数本身不处理跨域，得靠HTTP响应头
PHP的分页逻辑（比如计算$offset、$limit、生成$total_pages）和跨域是两件事。跨域请求能否成功，取决于你是否在响应中正确设置了CORS头，而不是分页函数写了什么。很多开发者卡在“翻页按钮点不动”，其实是前端发出了请求，但被浏览器拦截了，根本没到PHP分页逻辑里。
常见错误现象：Failed to fetch 或控制台报 Access to fetch at 'https://api.example.com/list?page=2' from origin 'https://web.example.com' has been blocked by CORS policy —— 这说明请求压根没进你的PHP脚本，或者进了但没返回允许跨域的头。
- 必须在输出任何内容前设置CORS头，建议放在入口文件（如
index.php）最顶部，或框架的统一响应中间件中 - 不要只在分页接口里加，而要在所有API响应前统一加，否则非分页接口也会跨域失败
- 生产环境避免用
Access-Control-Allow-Origin: *配合credentials（如带cookie），会直接被浏览器拒绝；需明确指定来源，例如Access-Control-Allow-Origin: https://web.example.com
分页接口返回JSON时，header顺序和内容要严格匹配
如果分页接口返回application/json，但响应头里漏了Content-Type，或Access-Control-Allow-Headers没包含前端实际发送的字段（比如Authorization、X-Requested-With），浏览器仍会预检失败。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 确保
header('Content-Type: application/json; charset=utf-8');在echo json_encode(...)之前执行 - 若前端带token，必须显式声明：
header('Access-Control-Allow-Headers: Authorization, Content-Type, X-Requested-With'); - 若前端用
fetch并设credentials: 'include'，后端必须同时设Access-Control-Allow-Credentials: true，且Access-Control-Allow-Origin不能为* - 预检请求（OPTIONS）必须返回200，且带全部CORS头；可简单用
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { http_response_code(200); exit; }兜底
分页参数被前端篡改？别依赖$_GET做安全校验
跨域场景下，前端可能任意构造URL发起请求（比如把page=9999改成page=-1），单纯靠PHP分页函数里的max($page, 1)不够——它不防SQL注入，也不拦非法范围。真正的防护点在数据查询层。
使用示例（PDO）：
php
$page = (int)($_GET['page'] ?? 1);
$limit = 20;
$offset = max(0, ($page - 1) * $limit);
<p>// ✅ 参数化查询，$offset和$limit都经过强转+范围限制
$stmt = $pdo->prepare("SELECT * FROM articles ORDER BY id DESC LIMIT :limit OFFSET :offset");
$stmt->bindValue(':limit', $limit, PDO::PARAM_INT);
$stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
$stmt->execute();</p>-
$page必须强制转int，再用max(1, ...)，防止浮点或字符串绕过 -
$limit必须白名单控制（如只允许10/20/50），不能由前端传入任意值 - 别在
ORDER BY或WHERE里拼接$_GET字段，哪怕只是排序字段名，也得映射到预设枚举
前端发请求时带withCredentials，后端漏配credentials会静默失败
这是最容易被忽略的细节：前端Vue/React用axios.get('/api/list?page=2', { withCredentials: true })，后端却只写了Access-Control-Allow-Origin: *，结果请求无报错、无响应、控制台也无明显提示——因为浏览器直接拒收响应。
原因：当withCredentials为true时，浏览器要求Access-Control-Allow-Origin必须是具体域名，且必须配套Access-Control-Allow-Credentials: true。
- 检查PHP里是否同时存在这两行（顺序无关，但缺一不可）：
header('Access-Control-Allow-Origin: https://web.example.com');header('Access-Control-Allow-Credentials: true'); - Apache用户注意：
Header set Access-Control-Allow-Credentials "true"这类配置，在PHP里用header()覆盖不了，得统一用PHP输出 - Nginx用户同理，不要在
location块里只配add_header而不关掉fastcgi_hide_header对Access-Control-Allow-Credentials的屏蔽
跨域不是分页函数该管的事，但分页接口一旦要被其他源调用，CORS配置的每个字符都得对得上浏览器的校验规则——少一个冒号、多一个空格、Origin写错端口，都会让翻页停在第一页。
