ThinkPHP 设置响应头必须通过Response对象操作，优先使用json()->header()或语义化方法如contentType()，避免直接调用header()；需在return前设置，全局头应于中间件中统一处理并返回$response。
ThinkPHP 的响应对象设置 Header，核心在于「用对方法、避开覆盖、时机要早」。直接调用 header() 函数在 TP6+ 中基本不可靠——它容易被框架后续逻辑覆盖，且不兼容 Swoole/Workerman 等常驻内存环境。必须通过框架原生的 Response 对象操作。
用 response()->header() 手动注入头信息
这是最通用、最可控的方式，适用于单个接口或调试场景。它返回的是 think\Response 实例，所有 header 修改都绑定到该响应生命周期内。
- 必须在 return 响应前调用，例如：
return json($data)->header(['X-Api-Version' => 'v2']); - 不能混用
header()函数和response()->header()，后者会接管输出流程，前者可能被忽略或报错 - 若需设置多个头，传入关联数组即可；单个头可链式调用：
json($data)->header('Cache-Control', 'no-cache') - 注意：
Access-Control-Allow-Origin和Access-Control-Allow-Credentials: true不能共存于*，否则浏览器拒绝请求
json() / xml() 等响应助手函数的 header 链式调用
TP6 提供的响应助手函数（如 json()、xml()、view()）都返回 Response 对象，天然支持链式设置 header。
- 常见写法：
return json($data)->header('Content-Type', 'application/json; charset=utf-8'); - 可叠加其他快捷方法：
->code(201)->cacheControl('no-cache') -
cacheControl()、contentType()、eTag()等是封装好的语义化方法，比手写header()更安全，推荐优先使用 - 中文 JSON 不乱码的关键是确保
contentType()包含charset=utf-8，或显式调用json($data, 200, [], JSON_UNESCAPED_UNICODE)
全局中间件中统一设置响应头
需要对所有 HTTP 响应统一加头（如监控标头、安全策略），必须在中间件里操作 $response 对象，而不是在控制器里零散写。
立即学习“PHP免费学习笔记（深入）”；
- 中间件
handle()方法接收$request和$next，返回值是$next($request)的结果，即最终Response对象 - 正确做法：
$response = $next($request); $response->header('X-Frame-Options', 'DENY'); return $response; - 切忌在中间件里调用
header()函数——它对 Swoole 环境无效，且可能破坏响应体结构 - 若中间件需提前终止响应（如 OPTIONS 预检），必须用
response('', 204)构造新响应，而非仅设 header
真正容易被忽略的是：响应头设置不是“写进去就生效”，而取决于它是否在框架最终 send() 之前被挂载到 Response 实例上。控制器里晚于 json() 调用的 header()、中间件里漏掉 return $response、或者在 $next() 之后又 echo 了内容——这些都会让 header 失效。动手前先确认执行路径是否真的走到你写的那行 header() 或 ->header()。
