phpMyAdmin 5.2 默认不设CORS头，所谓“禁用”实为确保其不被Web服务器或代理意外注入Access-Control-Allow-Origin等头；需检查Nginx/Apache配置、代理工具设置，并用curl -I验证响应头是否完全不含Access-Control-字段。
phpMyAdmin 5.2 本身不提供“禁用 CORS”的开关——它默认不设任何 Access-Control-Allow-Origin 头，所以跨域请求本就失败；所谓“禁用”其实是误读，真正要做的，是确认它没意外暴露头、且不被 Web 服务器（如 Nginx/Apache）或反向代理（如 Nginx Proxy Manager）强行注入 CORS 头。
为什么 phpMyAdmin 没开 CORS 却还报错？
常见现象是：你在 http://localhost:8080 的前端页面里用 JS 调 phpMyAdmin 接口（如 /phpmyadmin/import），浏览器直接报 No 'Access-Control-Allow-Origin' header is present。这不是 phpMyAdmin 主动开了 CORS，而是：
- 你本地开发时用了代理（如 vite dev server 或 webpack devServer），它把请求转发给了 phpMyAdmin，但代理未清除 Origin 头，导致浏览器按跨域逻辑处理
- Nginx 或 Apache 的全局配置里写了
add_header Access-Control-Allow-Origin "*"，作用到了 phpMyAdmin 所在 location/server 块 - 你用了 Nginx Proxy Manager，它默认启用 CORS 插件或模板，对所有代理站点加了响应头
- PHP 脚本里（比如自定义入口或插件）手动调用了
header()，而 phpMyAdmin 的核心代码本身从不设置这些头
检查 phpMyAdmin 是否真的输出了 CORS 头
直接访问 phpMyAdmin 的一个接口（如 /phpmyadmin/js/messages.php），用 curl 看原始响应头：
curl -I http://your-server/phpmyadmin/js/messages.php
如果输出里**没有** Access-Control-Allow-Origin、Access-Control-Allow-Methods 等字段，说明 phpMyAdmin 本身干净。此时问题一定出在外部层。
立即学习“PHP免费学习笔记（深入）”；
注意：-I 只看响应头，避免 HTML 冲突；别用浏览器开发者工具的 Network 面板——它可能缓存了旧响应或受扩展干扰。
Nginx 中彻底移除 phpMyAdmin 的 CORS 头
如果你用 Nginx 托管 phpMyAdmin，重点检查三处：
- 全局
http{}块里有没有add_header—— 有则删掉或用always控制范围 - phpMyAdmin 对应的
location /phpmyadmin { ... }块里，是否显式写了add_header Access-Control-Allow-Origin—— 有则删 - 是否启用了
more_set_headers（需 ngx_http_headers_more_module）—— 查配置中是否有类似指令
最稳妥写法是显式清空（Nginx 1.13.5+ 支持）：
location /phpmyadmin {
# 其他 fastcgi 配置...
add_header Access-Control-Allow-Origin "" always;
add_header Access-Control-Allow-Methods "" always;
add_header Access-Control-Allow-Headers "" always;
}空字符串 + always 可覆盖上级继承的头，确保不透出。
Apache 或 Nginx Proxy Manager 的陷阱
Apache 用户：检查 .htaccess 文件和 mod_headers 配置，尤其留意 Header set 是否作用于 /phpmyadmin/ 路径下。
Nginx Proxy Manager 用户：进入对应 Proxy Host → Advanced → paste 这段配置（清空所有 CORS 相关行）：
# 删除或注释掉所有以 Header set Access-Control- 开头的行 # 尤其警惕 "CORS" 标签页或一键启用按钮
这个界面常默认勾选 “Enable CORS”，它会自动注入头——哪怕你没手动填任何值。
最后重启服务，并用 curl -I 复验。只要响应头里没出现任何 Access-Control- 字段，就表示跨域资源共享已被“彻底禁用”——准确说是：从未启用，也未被外力强加。
