最可靠方式是layui.config({ajax:{headers:{}}})（仅2.8+），否则用$.ajaxPrefilter；table.render需用beforeSend设头；跨域须配xhrFields.withCredentials并后端响应对应CORS头。
最可靠的方式是用 layui.config({ ajax: { headers: {} } })，仅适用于 Layui 2.8+；若版本低于 2.8，则必须用 $.ajaxPrefilter，且不能依赖 $.ajaxSetup —— 它在 Layui 内部请求中基本失效。
layui.config 配置 headers（2.8+ 推荐）
这是唯一真正“全局生效”且不污染非 Layui 请求的方案。它会注入到 layui.ajax、table.request、开启 AJAX 模式的 form.on('submit') 等所有 Layui 自有请求链路中。
- 必须在
layui.use调用之前执行，否则无效 -
headers中的值是静态快照，如需动态读 token，得配合函数包装（但注意：config 不支持异步或闭包变量自动刷新） - 示例写法：
layui.config({
ajax: {
headers: {
'Authorization': 'Bearer ' + (localStorage.getItem('access_token') || '')
}
}
});
layui.use(['table', 'form'], function(){
// 此后所有 table.render / form.submit(AJAX 模式) 都会带这个头
});
⚠️ 注意：layui.config 不影响手动调用的 $.ajax 或原生 fetch，也不影响 layer.open({type: 2}) 加载 iframe 这类非 AJAX 行为。
$.ajaxPrefilter 动态注入（兼容所有版本）
如果你还在用 Layui 2.7 或更早，或者需要每次请求都读取最新 token（比如 token 刚被刷新），$.ajaxPrefilter 是唯一稳定选择。它在 jQuery 请求发出前触发，Layui 内部多数 AJAX 也走这条链路。
- 必须在
layui.use('jquery', ...)回调里执行，确保用的是 Layui 封装的$ - 要加域名判断，避免把
Authorization错带到 CDN 或统计接口 - 不要和
$.ajaxSetup混用，否则 headers 可能被覆盖或重复
layui.use('jquery', function(){
var $ = layui.jquery;
$.ajaxPrefilter(function(options, originalOptions, jqXHR){
if (options.url.indexOf('/api/') === 0) {
var token = localStorage.getItem('access_token');
if (token) {
options.headers = options.headers || {};
options.headers.Authorization = 'Bearer ' + token;
}
}
});
});
table.render 的 headers 必须用 beforeSend
table.render({ headers: {...} }) 是无效写法 —— Layui 2.8.x 及之前版本压根不识别这个字段。想给表格请求加头，只有两个办法：
- 用
beforeSend拦截原生 XHR 实例（推荐，可操作凭据与超时） - 配合
table.set({ headers: {...} })设全局默认头（仅对 table 生效，且无法动态读 token）
示例（beforeSend）：
table.render({
elem: '#demo',
url: '/api/list',
method: 'get',
beforeSend: function(xhr){
var token = localStorage.getItem('access_token');
if (token) {
xhr.setRequestHeader('Authorization', 'Bearer ' + token);
}
}
});
⚠️ 注意：beforeSend 不会自动继承 $.ajaxPrefilter 设置的 headers，它是独立路径；如果同时用了两者，以 beforeSend 为准。
跨域请求必须显式配 xhrFields
哪怕 headers 设置成功，如果请求跨域且需携带 Cookie 或 token，不加 xhrFields: { withCredentials: true } 就等于白设。浏览器会直接丢弃 Authorization 头或 Cookie。
- 不能只在单个
table.render里配 ——table.reload()不继承它 - 必须靠
$.ajaxSetup({ xhrFields: { withCredentials: true } })全局兜底 - 后端必须响应
Access-Control-Allow-Origin: http://your-domain.com（不能是*）和Access-Control-Allow-Credentials: true
常见错误现象：Failed to load http://xxx: CORS header ‘Access-Control-Allow-Origin’ cannot be ‘*’ when credentials flag is true —— 这说明前端配了 withCredentials，但后端仍返回了 Access-Control-Allow-Origin: *。
真正容易被忽略的点是：token 刷新后，layui.config 里的 headers 不会自动更新，而 $.ajaxPrefilter 虽然能读新值，但如果你没加 URL 过滤，它可能把 token 发给了不该发的地址。这两个细节不处理，上线后大概率出 401 或跨域拦截。
