Access-Control-Allow-Origin 不能为 * 且启用 credentials，必须动态校验白名单域名并精确返回；同时需完整配置 Allow-Methods、Allow-Headers 等 CORS 头，避免安全风险与跨域失败。
Access-Control-Allow-Origin 不能用 * 配合 credentials
当你在 PHP 接口里写 header('Access-Control-Allow-Origin: *');，同时前端请求又带了 credentials: true（比如用了 fetch 的 withCredentials 或 XMLHttpRequest 的 withCredentials = true），浏览器会直接拒绝响应——连请求都发不出去，控制台报错 No 'Access-Control-Allow-Origin' header is present on the requested resource。
这是因为 W3C 规范明确禁止：一旦允许携带认证信息（cookie、Authorization 头等），Access-Control-Allow-Origin 就不能是通配符 *，必须是精确匹配的域名，比如 https://app.example.com。
- 常见错误现象：本地开发时前端用
localhost:3000调后端，PHP 返回*+Access-Control-Allow-Credentials: true，结果请求静默失败 - 真实使用场景：登录态需透传 cookie 的接口（如用户信息、订单列表），必须支持指定来源且带凭证
- 正确做法是动态读取
Origin请求头，白名单校验后原样回写，而不是无脑设*
PHP 动态设置 Origin 要校验白名单，不能直接 echo $_SERVER['HTTP_ORIGIN']
很多人图省事，直接写 header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']);，这等于把服务端变成开放重放代理——任意网站都能通过伪造 Origin 头绕过同源限制，窃取用户 cookie 或敏感响应。
必须做显式白名单比对，且注意协议、端口、子域都要一致。比如 https://a.example.com 和 http://a.example.com 是不同源，https://example.com:8080 和 https://example.com 也算不同源。
立即学习“PHP免费学习笔记（深入）”；
- 推荐做法：维护一个数组
$allowed_origins = ['https://app.example.com', 'https://dev.example.com'];，用in_array()或正则严格匹配 - 避免用
strpos()或strstr()做模糊匹配，否则https://evil.com.example.com可能被误放行 - 如果需要支持多级子域（如
https://*.example.com），得用parse_url()提取 host 后手动判断后缀，不能依赖简单字符串操作
除了 Origin，还要配全其他关键 CORS 头
只设 Access-Control-Allow-Origin 不够。浏览器预检请求（OPTIONS）会检查多个头是否就位，缺一不可。尤其当请求含自定义头、非简单方法（PUT/DELETE）、或 content-type 为 application/json 时，预检必触发。
- 必须设置
Access-Control-Allow-Methods，如GET, POST, PUT, DELETE, OPTIONS；别漏掉OPTIONS，否则预检 405 - 必须设置
Access-Control-Allow-Headers，列出前端实际发送的头，比如Content-Type, Authorization, X-Requested-With；若写成*，部分旧版浏览器不认 - 建议加上
Access-Control-Max-Age（如86400），减少重复预检请求 - 如果接口要返回自定义响应头（如
X-Total-Count），还得加Access-Control-Expose-Headers
开发环境和生产环境的 CORS 策略不该一样
本地调试时用 * 看似方便，但容易养成坏习惯，上线前忘记改，或者测试不覆盖带 credentials 的路径，导致线上故障。
更稳妥的做法是：用环境变量或配置开关区分策略。比如通过 $_ENV['APP_ENV'] === 'local' 控制是否启用宽松策略，但即便本地，也建议模拟真实域名（如 hosts 绑定 app.test），而非依赖 *。
- 容易被忽略的点：Nginx/Apache 层也可能加了 CORS 头，和 PHP 的 header 冲突，导致重复设置或覆盖——用浏览器开发者工具的 Network → Response Headers 确认最终发出的是什么
- 某些 PHP 框架（如 Laravel）的中间件可能默认注入 CORS 头，要检查是否和你自己写的重复
- CDN 或反向代理（如 Cloudflare）有时会缓存 OPTIONS 响应，导致预检头失效，可临时关缓存验证
事情说清了就结束
