thinkphp 6 跨域应优先使用路由级 allowcrossdomain() 方法，仅对指定 api 路由生效；全局需自定义 cors 中间件并显式处理 options 预检请求，避免 405 错误；config/cors.php 非官方配置，无效。
ThinkPHP 6 路由级跨域设置：用 allowCrossDomain() 最直接
路由定义时加 allowCrossDomain() 是最轻量、最可控的方式，适合只对特定接口（比如 API 路由）开放跨域。它本质是给该路由绑定一个中间件，自动注入 Access-Control-Allow-Origin 等响应头。
常见错误是写在闭包路由里却忘了调用，或误以为它能覆盖全局配置 —— 实际上它优先级高于全局中间件，但仅作用于当前路由。
- 必须在
route/app.php中定义路由后链式调用：->allowCrossDomain() - 支持传参自定义来源：
->allowCrossDomain(['http://localhost:3000', 'https://admin.example.com'])，不传则默认* - 若需携带 Cookie，得额外配：
->allowCrossDomain(['https://example.com'], true)（第二个参数为true表示启用credentials） - 注意：该方法仅对 HTTP/HTTPS 路由生效，
console或event路由无效
ThinkPHP 6 全局跨域中间件：统一处理但需避开 OPTIONS 预检陷阱
在 app/middleware.php 或中间件类中添加跨域头看似简单，但极易因忽略 OPTIONS 预检请求而报错 405 Method Not Allowed 或浏览器静默失败。
真正可用的方案不是“加个 header 就完事”，而是要拦截并短路预检请求。
立即学习“PHP免费学习笔记（深入）”；
- 推荐新建中间件
app/middleware/CorsMiddleware.php，handle()方法开头判断：if ($request->isOptions()) { return response()->code(204); } - 再统一设置响应头：
$response->header('Access-Control-Allow-Origin', 'https://your-frontend.com'); - 务必显式设置
Access-Control-Allow-Methods和Access-Control-Allow-Headers，尤其当前端发Content-Type: application/json时，后者必须包含Content-Type - 不要在全局中间件里无条件设
Access-Control-Allow-Origin: *+credentials: true，这会直接被浏览器拒绝
为什么 config/cors.php 在 ThinkPHP 6 里基本没用？
ThinkPHP 官方并未内置 cors.php 配置文件，社区部分教程提到的这个文件，实际是 Laravel 的配置路径，直接照搬会导致 Class 'think\middleware\Cors' not found 错误。
有人手动创建该文件并试图在中间件中读取，但框架不会自动加载它 —— 所有跨域逻辑必须落在中间件代码或路由定义中。
- 不要新建
config/cors.php并期待框架识别 - 如需配置化管理，可自己定义
config/cors.php返回数组，然后在中间件中config('cors')读取，但这是自行扩展，非官方机制 - 更稳妥的做法是把白名单域名、是否允许 credentials 等抽成环境变量（
.env），避免硬编码
调试跨域问题时，先看 Network 面板里的 Request Headers 和 Response Headers
很多问题根本不是代码没写对，而是浏览器缓存了旧的预检响应，或 Nginx/Apache 拦截了 OPTIONS 请求，导致根本没走到 PHP 层。
- 打开浏览器 DevTools → Network → 点开请求 → 查看
Response Headers是否含Access-Control-Allow-Origin - 如果连
OPTIONS请求都没出现在列表里，说明是 Web 服务器层拦截了，需检查 Nginx 配置是否有limit_except或未放行OPTIONS - 若看到
Failed to load resource: the server responded with a status of 404 (Not Found)且请求方法是OPTIONS，大概率是路由没匹配上，需确认是否启用了多应用模式导致路由分组错位 - 后端日志里完全看不到
OPTIONS请求的记录？那基本可以确定请求没到 PHP，别再改 ThinkPHP 代码了
