必须写在任何输出之前，否则 header() 会失败并报“headers already sent”错误；纯 php 脚本中应将 header('access-control-allow-origin: *') 放在脚本最开头。
PHP跨域头该写在脚本最开头还是框架中间件里
必须写在任何输出之前，否则 header() 会失败并报 “headers already sent” 错误。这不是风格问题，是 PHP 的输出缓冲机制决定的——一旦有空格、BOM、echo、甚至文件末尾换行被当成输出，header() 就直接失效。
实操建议：
- 纯 PHP 脚本：把
header('Access-Control-Allow-Origin: *');放在<?php开标签后的第一行，前面不能有任何字符（包括 UTF-8 BOM） - Laravel/Lumen：用中间件（如
App\Http\Middleware\HandleCors），避免在每个控制器里重复写 - ThinkPHP：配
app/middleware.php或使用内置Cors中间件，不推荐在index.php里硬塞header() - 注意 CLI 模式下
header()无意义，别在命令行脚本里加
Access-Control-Allow-Origin 设为 * 为什么还是报错
因为浏览器禁止 Access-Control-Allow-Origin: * 和凭据（credentials）共存。只要前端 fetch 带了 credentials: 'include' 或 jQuery 的 xhrFields: {withCredentials: true}，后端就不能用通配符，必须明确指定来源域名。
常见错误现象：
立即学习“PHP免费学习笔记（深入）”；
- 控制台报错
The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include' - POST 请求能过，GET 却失败——其实是预检（OPTIONS）没返回正确头，或没处理 OPTIONS 方法
实操建议：
- 带 cookie 的请求，后端改用具体域名：
header('Access-Control-Allow-Origin: https://example.com'); - 同时加
header('Access-Control-Allow-Credentials: true');，且前端必须显式设credentials - 确保 OPTIONS 请求被正确响应：检查是否路由拦截了 OPTIONS，或 Apache/Nginx 是否转发了它
Apache / Nginx 配置跨域比 PHP header 更可靠吗
更可靠，但不是“代替”，而是“前置”。Web 服务器层设置头，天然绕过 PHP 输出时机限制，也适用于静态资源（如 /api/v1/ 下的 JSON 文件或上传的 JS）。
性能与兼容性影响：
- Apache：在
.htaccess或虚拟主机配置中加Header set Access-Control-Allow-Origin "*"，需启用mod_headers - Nginx：在
location块里加add_header 'Access-Control-Allow-Origin' '*';，注意默认不继承父级add_header，要手动重复写或用always参数 - 注意：Nginx 的
add_header不会出现在 304 响应里，而 PHP 的header()可以；若用 CDN，可能需要在 CDN 控制台单独配 CORS
为什么本地开发用 localhost 就跨不过，但换 127.0.0.1 就行
因为 localhost 和 127.0.0.1 在浏览器眼里是两个不同源（协议+域名+端口全等才算同源），哪怕都走 8080 端口。前端发请求时写的是 http://localhost:3000，后端如果只允许 http://127.0.0.1:8000，就直接被拦。
容易踩的坑：
- 前端开发服务器（如 vite、webpack dev server）默认只代理到
localhost，但后端响应头里写的却是127.0.0.1，导致不匹配 - Chrome 对
localhost有特殊策略，某些版本下localhost:8080→localhost:8000仍算跨域，除非后端明确返回对应头 - Mac 上
localhost可能被解析成 IPv6（::1），而 PHP 获取的$_SERVER['HTTP_ORIGIN']是http://[::1]:3000，字符串比对失败
实操建议：开发时后端动态判断来源，用 parse_url($_SERVER['HTTP_ORIGIN'], PHP_URL_HOST) 提取 host 再白名单校验，别硬编码域名。
