PHP 8.2接口跨域失败主因是响应头未正确发出或OPTIONS预检被Nginx拦截；须在PHP脚本顶部无输出前提下手动设header()，并在宝塔Nginx配置的location块内用always参数显式处理OPTIONS并返回204。
PHP 8.2 接口跨域失败，核心问题不在 PHP 版本本身，而在于响应头没正确发出、预检请求被拦截，或 Nginx 配置与 PHP 行为不匹配。宝塔环境下，需同时检查 PHP 脚本输出控制和 Nginx 反向代理/CORS 配置两层。
确认 PHP 层是否主动输出了跨域头
即使用了 PHP 8.2，它也不会自动加 CORS 头——必须手动写 header()，且严格满足前置条件：
- 脚本最顶部（任何输出前），包括空行、BOM、echo、var_dump、require 引入的文件都不能有输出
- 推荐写法（放入口文件如
api.php开头）：header('Access-Control-Allow-Origin: https://your-frontend.com');header('Access-Control-Allow-Credentials: true');header('Access-Control-Allow-Methods: GET, POST, OPTIONS, PUT, DELETE');header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With'); - 若前端带
credentials: true，Access-Control-Allow-Origin不能写*，必须指定完整协议+域名
处理 OPTIONS 预检请求（关键！）
浏览器对非简单请求（如含 Authorization、Content-Type: application/json）会先发 OPTIONS 请求。如果 Nginx 拦截了它，PHP 根本收不到，header 就白加。
- 在宝塔「网站 → 设置 → 配置文件」的
location块内（例如location ~ \.php$或location /api/），添加： -
if ($request_method = 'OPTIONS') {add_header Access-Control-Allow-Origin "https://your-frontend.com" always;add_header Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" always;add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" always;add_header Access-Control-Allow-Credentials "true" always;add_header Access-Control-Max-Age "86400" always;add_header Content-Length 0;add_header Content-Type text/plain;return 204;} - 注意：
if必须写在location块内部才生效；always参数确保 204/405 等非 2xx 响应也能带头
反向代理场景下补全 Nginx 响应头
如果你用宝塔反向代理把 /api/ 转发到 PHP-FPM（如 http://127.0.0.1:9000），CORS 头必须由 Nginx 输出，而不是依赖 PHP —— 因为代理可能缓存、过滤或覆盖 header。
立即学习“PHP免费学习笔记（深入）”；
- 在对应
location /api/块中，加入以下（带always）： add_header Access-Control-Allow-Origin "$http_origin" always;add_header Access-Control-Allow-Credentials "true" always;add_header Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" always;add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization" always;add_header Access-Control-Expose-Headers "Content-Length,Content-Range" always;- 若后端返回 302 重定向或 Set-Cookie，还需加：
proxy_redirect http://127.0.0.1:9000/ /api/;和proxy_cookie_path / /api/;
验证与排障要点
改完配置别直接关页面，立刻验证：
- 点宝塔右上角【重载配置】，不是重启 Nginx（避免中断服务）
- 用 curl 测试预检：
curl -I -X OPTIONS https://yoursite.com/api/login，看响应头是否含Access-Control-Allow-Origin - 打开浏览器 DevTools → Network → 点击失败请求 → 查看「Headers」里的 Response Headers，确认头存在且值正确
- 检查 PHP 错误日志：
/www/server/php/82/var/log/www.log，常见报错如Cannot modify header information就是提前输出了 - 清除浏览器缓存，禁用 CDN（如有），排除缓存干扰
