PHP 8.3 跨域关键在 header() 调用时机、Origin 白名单校验及 OPTIONS 预检处理：header() 必须在任何输出前执行，带 credentials 时需动态匹配 Origin 并禁用 *，OPTIONS 请求须显式响应并 exit。
PHP 8.3 本身不内置 CORS 支持，跨域问题必须靠手动注入响应头或借助服务器/框架层控制；关键不是 PHP 版本，而是 header() 调用时机、Origin 白名单校验、OPTIONS 预检处理这三件事是否做对。
header() 必须在任何输出前调用，否则静默失效
PHP 8.3 对输出缓冲更敏感，header() 失败时不再报 Warning（默认 error_reporting 可能屏蔽），导致 CORS 头根本没发出去。浏览器看到“No 'Access-Control-Allow-Origin' header is present”，八成是这个原因。
- 用
headers_sent($file, $line)主动检查：如果返回 true，说明已在$file的$line行之前输出过内容（空格、BOM、echo、var_dump、甚至文件末尾多一个换行） - 所有 PHP 文件保存为 UTF-8 无 BOM 格式——编辑器里关掉“带签名的 UTF-8”选项
- 不要在控制器里写
header()后再 echo 或 return JSON；统一放在逻辑最开头，或封装进响应对象 - 若用 Composer 加载了框架（如 Laravel、ThinkPHP），别在控制器里硬塞
header()——框架可能已发过响应，此时再调用会失败
带 credentials 的请求必须动态匹配 Origin，不能写 *
前端 fetch 配了 credentials: 'include'（比如传 Cookie 或 Token），而你却写了 header('Access-Control-Allow-Origin: *')，浏览器会直接丢弃响应，连 200 都不显示。
- 必须从
$_SERVER['HTTP_ORIGIN']读取来源，并白名单校验：in_array($_SERVER['HTTP_ORIGIN'], ['https://admin.example.com', 'http://localhost:5173']) - 只对匹配成功的 Origin 返回对应值：
header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']) - 同时必须加：
header('Access-Control-Allow-Credentials: true')，且这两项不能和*共存 - 注意：
$_SERVER['HTTP_ORIGIN']在非跨域请求中可能为空，需判空再取
OPTIONS 预检请求必须显式响应并 exit，不能交给后续逻辑
前端发 PUT/DELETE、或带 Content-Type: application/json、或自定义 Header（如 Authorization）时，浏览器必先发 OPTIONS。PHP 默认不认这个方法，Apache/Nginx 可能回 405，或脚本路由没匹配到而输出空白 —— 这都会让真实请求卡住。
立即学习“PHP免费学习笔记（深入）”；
- 在入口文件（如
index.php）最顶部加拦截：if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { header('HTTP/1.1 204 No Content'); header('Access-Control-Allow-Origin: ' . ($origin ?? '*')); header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS'); header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With'); exit; } - 状态码推荐用
204（无正文）而非200，语义更准确，也避免某些代理对 200 空响应的异常处理 -
Access-Control-Allow-Headers必须包含前端实际发送的所有自定义头，漏一个（比如前端发了X-Token，但 header 没列它），预检就失败 - 如果用了 Nginx，可在
location块内加add_header，但注意：Nginx 的add_header不继承，OPTIONS 请求需单独配if ($request_method = 'OPTIONS') { add_header ...; return 204; }
ThinkPHP 8 + PHP 8.3 推荐走中间件，别手写 header()
ThinkPHP 8 生命周期明确，中间件是唯一安全可控的位置。在控制器或模板里写 header() 极易被框架内部响应覆盖，尤其 PHP 8.3 的错误抑制更隐蔽。
- 装官方插件：
composer require topthink/think-cors，它自动适配 TP8.0+，且把AllowCrossDomain中间件注册在最前 - 改
config/cors.php：把'allowed_origins'设为具体数组，'paths'锁定['api/*']，避免静态资源也被跨域暴露 - 若需动态 Origin（比如按数据库查白名单），别改插件配置，而是手写中间件：
php think make:middleware CorsMiddleware，在handle()开头处理 OPTIONS，再在$next($request)后设置响应头（注意顺序！必须在return $response前） - 确认
app/middleware.php中该中间件在全局数组**第一位**，否则日志、鉴权等中间件可能提前输出响应
最容易被忽略的是：PHP 8.3 默认开启 opcache，修改了 header 逻辑却忘了 opcache_reset() 或重启 PHP-FPM，导致旧缓存还在跑；还有就是 Nginx/Apache 配置和 PHP 层 header 冲突，比如 Nginx 已设了 Access-Control-Allow-Origin，PHP 又设一次，后者会被覆盖——这种叠加问题得逐层 curl -I 看响应头才看得清。
