ThinkPHP 5.1跨域设置有路由级、中间件和控制器内三种方式：路由级用→allowCrossDomain()最简；中间件需处理OPTIONS预检并设响应头；控制器内需手动header()且不可用原生header函数；注意credentials与*不能共存、自定义头须显式声明、预检必须正确响应。
ThinkPHP 5.1 跨域设置其实不难，关键选对方法、避开常见坑。开发时前端（比如 Vue、uni-app 或小程序本地调试）和后端不在同一域名或端口，浏览器就会拦截请求，报错类似 “No 'Access-Control-Allow-Origin' header is present”。只要在服务端正确返回几个响应头，问题就解决了。
路由级配置：最简单、推荐新手起步用
这是 TP5.1 原生支持的方式，不用写额外类，改一行路由代码就能生效，适合快速验证或只开放个别接口。
- 打开 route/route.php（或 route/api.php，如果你已启用 API 分组）
- 在你要跨域的路由定义末尾加 ->allowCrossDomain()，例如：
Route::get('api/user/info', 'api/User/info')->allowCrossDomain(); - 默认允许所有来源（
Access-Control-Allow-Origin: *），安全项目建议指定域名：->allowCrossDomain(['https://admin.example.com', 'http://localhost:8080']) - 如果前端要带 Cookie 或 token，必须开启凭据并指定具体域名（不能用 *）：
->allowCrossDomain(['https://admin.example.com'], true)
中间件统一处理：适合全站 API 接口
比路由方式更规范，便于维护，尤其当你有几十个 API 接口时，不用每个都加一遍。
- 执行命令生成中间件：
php think make:middleware CorsMiddleware - 编辑 app/middleware/CorsMiddleware.php，在
handle()方法中写入：if ($request->isOptions()) { return response('', 204); }
这一步必须有，否则 OPTIONS 预检会失败，导致 405 错误 - 在
$next($request)返回前设置响应头：$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com');$response->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');$response->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With, token'); - 把中间件加到 app/middleware.php 的全局数组首位，确保它最先执行
控制器内手动设置：临时调试或特殊接口用
适合只给某个方法开跨域，或需要动态判断来源（比如根据请求头切换允许域名）。
立即学习“PHP免费学习笔记（深入）”；
- 在控制器方法开头，用
response()->header()设置头信息，例如：$response = response()->json(['code'=>0, 'data'=>[]]);<br>$response->header('Access-Control-Allow-Origin', '*');<br>$response->header('Access-Control-Allow-Methods', 'GET, POST');<br>return $response; - 注意：不能用原生
header()函数，TP5.1 的输出流程已接管响应，直接调用可能被忽略或报错 - 如果该方法要处理 OPTIONS 预检，也得单独判断并返回空响应（状态码 204）
避坑提醒：这几个细节最容易出错
很多配置看似写了却无效，往往卡在这几处：
-
Access-Control-Allow-Origin 和 credentials 不能共存于 *：一旦设了
Access-Control-Allow-Credentials: true，Origin就必须是具体域名，不能是* -
自定义请求头（如 token）必须显式声明：除了
Allow-Headers要包含token，前端 fetch 里也得写credentials: 'include'或headers: {'token': 'xxx'} - 预检请求（OPTIONS）没被正确响应：浏览器先发 OPTIONS，若后端没返回 200/204 + 正确头，后续真实请求根本不会发出
-
配置位置错误：比如把
header()写在public/index.php里，但框架已启动并准备输出，此时再设 header 已失效
