CakePHP必须在中间件handle()开头拦截OPTIONS并返回204响应，否则预检失败；需校验Origin白名单、禁用*配合credentials，并显式设置Content-Length: 0。
CakePHP 默认不处理 OPTIONS 预检请求，必须显式拦截并返回 204 响应，否则前端发带 Authorization 或 application/json 的请求会卡在预检阶段 —— 浏览器根本收不到允许头，后续请求被静默拦截。
为什么 CakePHP 中间件里写 if ($request->isOptions()) 还是没用
常见错误是把 OPTIONS 处理逻辑放在中间件的 $next($request) 之后，或者没在最顶层中间件中提前终止。CakePHP 的中间件栈是链式调用，一旦执行到控制器或 ORM 层，响应体就可能已开始输出，$response->withHeader() 就会失效（报 headers already sent）。
- 必须在中间件
handle()方法开头判断$request->isOptions() - 匹配后立即构造空响应：
return $response->withStatus(204)，不要调用$next() - 确保该中间件注册在
Application::middleware()的最前面（如->add(CorsMiddleware::class)放第一行） - 若用了
AuthenticationMiddleware，它可能在 OPTIONS 请求里尝试读Authorization并抛出 401 —— 必须让它完全跳过
CakePHP CORS 中间件里怎么安全设置 Access-Control-Allow-Origin
不能硬写 * + Access-Control-Allow-Credentials: true，浏览器会直接拒绝。CakePHP 没有内置白名单校验，得手动做。
- 从
$request->getHeaderLine('Origin')取值，别用$_SERVER['HTTP_ORIGIN']（CLI 或某些 SAPI 下为空） - 查配置数组：
Configure::read('Cors.allowOrigins')，比如['https://app.example.com', 'http://localhost:3000'] - 只对匹配项设
$response->withHeader('Access-Control-Allow-Origin', $origin)；不匹配就不设这个头（浏览器自动拒） -
Access-Control-Allow-Credentials: true可以无条件设，只要 Origin 是具体域名而非*
Nginx 已配 OPTIONS 拦截，CakePHP 还要写中间件吗
要，但角色不同：Nginx 拦的是“所有未命中缓存的 OPTIONS”，CakePHP 中间件拦的是“漏网的、或开发环境直连 PHP-FPM 的 OPTIONS”。两者不是互斥，而是分层兜底。
立即学习“PHP免费学习笔记（深入）”；
- 生产环境建议 Nginx 全量拦截（用
if ($request_method = 'OPTIONS') { ... return 204; }），不转发给 PHP - CakePHP 中间件保留，用于本地开发（
php -S不支持 Nginx 配置）、测试环境、或某些 API 网关透传了 OPTIONS 的场景 - 注意 Nginx 和 CakePHP 的
Access-Control-Allow-Headers必须一致，比如前端发X-Request-ID，两边都要列出来，否则预检失败
最容易被忽略的是：CakePHP 的 Response 对象默认不自动设置 Content-Length: 0，而 204 响应必须无响应体且显式声明长度为 0。务必加 ->withHeader('Content-Length', '0')，否则部分旧版 Chrome 会卡住。
