ThinkPHP跨域错误核心是OPTIONS预检未响应或响应头错误；需检查是否拦截OPTIONS、Access-Control-Allow-Origin是否匹配来源、带Cookie时credentials与*不能共存。
ThinkPHP跨域请求出错，核心就一条：浏览器发了OPTIONS预检，后端没响；或者响了但头不对、顺序错、冲突了。解决它不靠猜，得盯住三个关键点——是否拦截并响应OPTIONS、Access-Control-Allow-Origin能否匹配前端来源、带Cookie时credentials和*不能共存。
路由级精准控制（适合API分组）
只对某类接口开跨域，推荐用->allowCrossDomain()链式调用，干净、可控、不污染全局。
- 在
route/app.php中，把API路由包进Route::group()，末尾直接加：Route::group('api/v1', function () { /* 路由 */ })->allowCrossDomain(['https://admin.example.com', 'http://localhost:5173'], true); - 第二个参数
true表示启用凭证（如Cookie、Authorization），此时Access-Control-Allow-Origin会动态取请求头里的Origin，必须白名单里有对应域名，不能写['*'] - 不传参或只传数组，默认设
Origin: *，但这时不能带凭证，否则前端静默失败 - 注意语法位置：必须是分组定义的最后一个链式调用，不能嵌在闭包里，也不能被条件语句包裹
自定义Cors中间件（推荐用于全站统一）
这是TP6/8最稳定、可扩展性最强的方式，能主动处理OPTIONS、校验来源、动态写头。
- 执行命令生成：
php think make:middleware CorsMiddleware - 编辑
app/middleware/CorsMiddleware.php，handle()开头先拦截预检：if ($request->isOptions()) { return response('', 204) ->header('Access-Control-Allow-Origin', $request->header('origin') ?: '*') ->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS') ->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With') ->header('Access-Control-Allow-Credentials', 'true'); } - 再在
return $next($request)之前设置正式响应头（不是之后！否则无效） - 把
\app\middleware\CorsMiddleware::class加到app/middleware.php的最顶部，确保最早执行
用官方插件think-cors（适合生产环境）
省心、规范、自动适配生命周期，尤其适合团队协作或长期维护项目。
立即学习“PHP免费学习笔记（深入）”；
- 安装：
composer require topthink/think-cors - 配置
config/cors.php重点三项：'paths' => ['api/*']（只开放API路径，别写['*']暴露后台）'allowed_origins' => ['https://admin.example.com', 'http://localhost:5173']（带凭证时严禁用['*']）'supports_credentials' => true（开启凭证支持） - 注册中间件：
\think\middleware\Cors::class必须放在app/middleware.php首位
兜底方案：入口文件硬写（仅限调试）
当其他方式失效或需要快速验证时，可在public/index.php最上方加逻辑，绕过所有中间件干扰。
- 在
require __DIR__ . '/../vendor/autoload.php';之后插入： if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('Access-Control-Allow-Origin: http://localhost:5173'); header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS'); header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With'); header('Access-Control-Allow-Credentials: true'); http_response_code(200); exit(); }- 再补一句基础头：
header('Access-Control-Allow-Origin: http://localhost:5173');（真实响应时用） - 注意：此法不可用于生产，缺少Origin校验和灵活性，仅作临时排查
