PHP接口跨域失败首要检查Access-Control-Allow-Origin响应头是否缺失，需在PHP脚本顶部无输出前提下手动设置header()，并确保Web服务器（Nginx/Apache）放行OPTIONS预检请求且未因fastcgi_hide_header或缓存覆盖跨域头。
PHP 接口
跨域
失败，先看是不是漏了
绝大多数线上 PHP 接口跨域报错（如浏览器控制台显示
），根本原因是响应头没正确设置。PHP 本身不自动加跨域头，得手动加，而且必须在
调用前没有任何输出（包括空格、BOM、
、
）。常见踩坑点：
文件开头有 UTF-8 BOM（尤其 Windows 编辑器保存时默认带），导致
失败；用 VS Code 或 Notepad++ 检查并转为“UTF-8 无 BOM”
用了
或
引入的配置/工具类提前输出了内容
在
前写了
这类调试代码
最简生效写法（放在脚本最顶部）：
为什么 OPTIONS 预检请求总 405 或直接不进 PHP？
浏览器对非简单请求（如带
、
）会先发
请求探路。如果 Web 服务器（Nginx/Apache）没放行
方法，请求根本到不了 PHP 层，就直接 405 Method Not Allowed。
Nginx 配置关键项（放在
块内）：
立即学习
“
PHP免费学习笔记（深入）
”；
Apache 用户需确认
开启，并在
或虚拟主机配置中显式允许
：
PHP 8.5.5
PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。
下载
PHP-FPM + Nginx 环境下，
不生效的隐藏原因
即使 PHP 脚本里写了
，Nginx 可能因缓存或代理设置覆盖或丢弃响应头。重点检查：
Nginx 的
：默认会隐藏
等自定义头，必须显式放开：
（清空隐藏列表）或只隐藏真正不需要的
启用了
：缓存会固化响应头，跨域头一旦被缓存，后续请求就固定返回旧值。开发期建议关掉：
用了
反向代理 PHP（少见但存在）：需在 proxy 层也透传跨域头，加
和对应
生产环境别用
，要精确匹配 Origin
线上接口若需携带 Cookie（
），
就不能是
，否则浏览器直接拒绝。必须动态读取请求头中的
，白名单校验后回写：
注意：
在 CLI 或某些 FastCGI 配置下可能为空，务必判空；同时确保所有入口（如 API 网关、CDN）都透传
头，否则白名单逻辑失效。
跨域不是加几行
就完事，它横跨 PHP、Web 服务器、网络中间件三层。最容易忽略的是预检请求被 Web 服务器截断，以及缓存/代理对响应头的篡改——这两处查不到 PHP 日志，得盯 Nginx error log 和 curl -v 看真实响应头。
Access-Control-Allow-OriginCORS header ‘Access-Control-Allow-Origin’ missingheader()echovar_dumpheader()requireincludeheader()print_r($_POST)header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Methods: GET, POST, OPTIONS, PUT, DELETE');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With');
header('Access-Control-Allow-Credentials: true'); // 如果前端带 credentials: true
header('Access-Control-Max-Age: 86400');AuthorizationContent-Type: application/jsonOPTIONSOPTIONSlocationif ($request_method = 'OPTIONS') {
add_header Access-Control-Allow-Origin "*";
add_header Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE";
add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With";
add_header Access-Control-Allow-Credentials "true";
add_header Access-Control-Max-Age "86400";
add_header Content-Length 0;
add_header Content-Type text/plain;
return 204;
}mod_rewrite.htaccessOPTIONSRewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]header()header()fastcgi_hide_headerAccess-Control-Allow-Originfastcgi_hide_header ''; fastcgi_cachefastcgi_cache off;proxy_passproxy_pass_request_headers on;add_header*credentials: trueAccess-Control-Allow-Origin*Origin$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
$allowed_origins = ['https://your-app.com', 'https://admin.your-app.com'];
if (in_array($origin, $allowed_origins)) {
header("Access-Control-Allow-Origin: $origin");
header('Access-Control-Allow-Credentials: true');
}$_SERVER['HTTP_ORIGIN']Originheader()