<p>PHP 8.0 CORS header 不生效主因是输出时机更严格：header() 必须在任何输出（含空行、BOM、日志）前调用，否则报 Warning 并中断流程；OPTIONS 预检需显式拦截；credentials 与 * 不可共存；中间件顺序错误或调试日志隐式输出均导致 headers already sent。</p>
PHP 7.4 的 CORS header 写法为什么在 8.0 上直接不生效
不是代码写错了，而是 PHP 8.0 对 header 发送时机更严格，且部分旧写法触发了新版本的错误机制。最典型的是：header('Access-Control-Allow-Origin: *') 放在 echo、var_dump 或甚至文件末尾空行之后——PHP 7.4 可能“容忍”并静默忽略，PHP 8.0 则直接报 Warning: Cannot modify header information，而框架（如 ThinkPHP）常把这类 warning 当作异常中断流程，导致响应头根本没发出去。
升级后 OPTIONS 预检请求返回 405 或空白响应
PHP 8.0 默认仍不处理 OPTIONS 方法，但 Web 服务器（Nginx/Apache）在 PHP 8 环境下对未匹配路由的响应更“强硬”，容易直接返回 405 而不进 PHP 入口。尤其当用了 Swoole/Workerman 时，$_SERVER['REQUEST_METHOD'] 可能不可靠，必须改用框架提供的请求对象判断。
- ThinkPHP 8.0 中必须用
$request->isOptions()，不能依赖$_SERVER['REQUEST_METHOD'] === 'OPTIONS' - Nginx 配置里若用了
fastcgi_hide_header，会屏蔽 PHP 设置的Access-Control-Allow-Origin，得改成fastcgi_pass_request_headers on - Apache 下需确认
mod_rewrite已启用，并在.htaccess或虚拟主机中显式允许OPTIONS：RewriteCond %{REQUEST_METHOD} OPTIONS+RewriteRule ^(.*)$ $1 [R=200,L]
credentials: true 和 Access-Control-Allow-Origin: * 共存时彻底失效
这不是 PHP 版本问题，而是浏览器强制策略——但 PHP 8.0 的错误提示更明确，容易暴露这个长期被忽略的配置冲突。只要前端 fetch 带了 credentials: 'include'，后端就不能写 Access-Control-Allow-Origin: *，否则整个响应被浏览器丢弃，控制台只报 “No 'Access-Control-Allow-Origin' header is present”。
- 必须动态读取
$request->header('origin')（ThinkPHP）或$_SERVER['HTTP_ORIGIN']（原生 PHP） - 白名单校验必须在 header 设置前完成，不匹配就不要设
Access-Control-Allow-Origin，否则 CDN 或代理可能缓存错误响应 - 设了
Access-Control-Allow-Credentials: true后，必须同步加Vary: Origin头，否则多源请求可能被缓存污染
ThinkPHP 8.0 中间件注册顺序错位导致 headers already sent
PHP 8.0 对输出缓冲更敏感，中间件执行顺序一错，Session 或 JWT 验证中间件就可能提前输出内容（比如日志、debug 输出），导致后续 CORS 中间件调用 $response->header() 失效。这不是逻辑错误，是执行时序问题。
立即学习“PHP免费学习笔记（深入）”；
-
CorsMiddleware::class必须放在app/middleware.php数组最前面，比SessionMiddleware、TokenValidateMiddleware都要早 - 自定义中间件里禁止用
echo、print_r、trigger_error等任何输出，调试用Log::info()替代 - 若用
topthink/think-cors插件，检查其自带中间件是否被重复注册（AllowCrossDomain::class和你手写的CorsMiddleware不能共存）
实际最易被忽略的点：PHP 8.0 下，哪怕中间件里只写了一句 Log::debug('cors start');，如果日志驱动是 file 且开启了实时写入，也可能触发隐式输出，导致 header 失效。别信“只是打个日志”，先关掉所有 debug 日志再验证。
