Apache中配置CORS需三步：启用mod_headers模块、在Directory块中用Header set添加响应头、确保OPTIONS方法包含在Allow-Methods中；生产环境禁用*通配符，启用credentials时必须指定具体域名。
在 apache 的 mod_headers 模块，并用 header set 指令注入标准 cors 响应头。关键不是靠
确保 mod_headers 已启用
跨域头必须由 mod_headers 模块支持。检查并启用：
- Debian/Ubuntu 系统：
sudo a2enmod headers && sudo systemctl restart apache2 - RHEL/CentOS 系统：确认
httpd.conf中有LoadModule headers_module modules/mod_headers.so，然后重启 httpd - 验证是否加载成功：
apache2ctl -M | grep headers或httpd -M | grep headers
在 Directory 块内添加 CORS 头
把 CORS 配置直接写进目标目录的
✅ 正确示例（仅允许指定前端域名）：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
<Directory "/var/www/html/api">
<IfModule mod_headers.c>
Header set Access-Control-Allow-Origin "https://app.example.com"
Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
Header set Access-Control-Allow-Headers "Content-Type, Authorization"
Header set Access-Control-Allow-Credentials "true"
Header set Access-Control-Max-Age "86400"
</IfModule>
</Directory>
⚠️ 注意事项：
-
Access-Control-Allow-Origin不能同时设为*和Access-Control-Allow-Credentials: true，否则浏览器拒绝；若需带 Cookie，必须写明确域名 -
OPTIONS方法必须包含在Access-Control-Allow-Methods中，否则预检请求失败 - 如需支持预检缓存，
Access-Control-Max-Age可设为 86400（24 小时）
配套设置不可省略
仅加 Header 不够，还需确保该目录的响应能正常发出这些头：
-
AllowOverride None 是安全默认值，但不影响 Header 指令生效 —— 因为
Header set属于主配置指令，不依赖 .htaccess - 若目录下有 PHP 或其他后端脚本，它们可能覆盖或干扰响应头；建议在 Apache 层统一控制，避免后端重复设置
- 如果网站经过 CDN 或反向代理（如 Nginx、Cloudflare），Apache 默认看到的是代理 IP，但 CORS 头不受影响；不过要注意代理是否过滤或重写了响应头
验证是否生效
改完配置后，务必测试：
- 用 curl 查看响应头：
curl -I -H "Origin: https://app.example.com" http://yoursite.com/api/data，确认返回含Access-Control-Allow-Origin - 在浏览器开发者工具 Network 标签中，检查目标请求的响应头
- 发起一个带凭证的跨域请求（如
fetch(..., { credentials: 'include' })），观察是否成功携带 Cookie
