可通过五种方法测试php跨域请求：一、curl模拟并检查响应头；二、php脚本显式输出cors头后浏览器访问验证；三、前端fetch发起真实跨域请求捕获错误；四、postman添加origin头比对响应；五、禁用chrome安全策略临时调试。
如果您在开发PHP应用时需要验证前端页面能否成功发起跨域请求，但浏览器因CORS策略阻止响应返回，则可能是服务端未正确配置响应头。以下是测试PHP跨域请求的多种方法：
一、使用cURL模拟跨域请求并检查响应头
该方法通过命令行或PHP脚本调用cURL，向目标PHP接口发送带Origin头的请求，直接观察HTTP响应头中是否包含合法的Access-Control-Allow-*字段。
1、在终端执行以下命令，模拟来自http://example.com的跨域请求：
2、curl -H "Origin: http://example.com" -I http://localhost/test-cors.php
立即学习“PHP免费学习笔记（深入）”；
3、检查返回头中是否存在Access-Control-Allow-Origin: http://example.com或Access-Control-Allow-Origin: *
4、若返回头缺失上述字段，说明PHP脚本未设置CORS响应头。
二、在PHP脚本中显式输出CORS响应头并访问测试
该方法通过修改目标PHP文件，在其开头强制输出标准CORS响应头，再由真实浏览器访问该脚本，观察控制台是否出现跨域错误。
1、编辑test-cors.php文件，在第一行加入以下代码：
2、
3、保存后，在浏览器中直接访问http://localhost/test-cors.php
4、打开开发者工具的Network面板，点击该请求，确认Response Headers中包含Access-Control-Allow-Origin: *
三、前端JavaScript发起真实跨域AJAX请求并捕获错误
该方法利用浏览器原生fetch API向PHP接口发起带Credentials或自定义Header的请求，通过网络面板与JavaScript错误判断CORS是否生效。
1、创建一个本地HTML文件，内嵌如下脚本：
2、fetch('http://localhost/test-cors.php', { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify({test: 1}) })
3、.then(r => r.json()).then(console.log).catch(e => console.error('CORS blocked: ' + e.message))
4、将该HTML用file://协议或本地服务器打开，在浏览器控制台查看是否输出CORS blocked提示
四、使用Postman模拟跨域请求头并比对响应
该方法借助Postman工具手动添加Origin请求头，绕过浏览器限制，单独验证PHP接口对跨域头的处理逻辑是否正确。
1、在Postman中新建请求，URL设为http://localhost/test-cors.php
2、点击Headers标签页，新增一行：Key为Origin，Value为https://malicious-site.com
3、发送请求后，在Response Headers区域查找Access-Control-Allow-Origin字段值
4、若返回值为*或精确匹配https://malicious-site.com，则说明PHP脚本已支持该来源跨域
五、禁用浏览器安全策略临时验证（仅限本地调试）
该方法通过启动Chrome浏览器时关闭Web安全机制，使浏览器不执行CORS预检和拦截，用于快速排除前端代码问题。
1、完全退出所有Chrome进程
2、在终端执行命令启动Chrome（macOS示例）：
3、open -n -a "Google Chrome" --args "--user-data-dir=/tmp/chrome_dev_test" "--disable-web-security"
4、在新开的Chrome窗口中访问含跨域请求的页面，若请求成功且无控制台CORS报错，说明问题出在服务端响应头缺失而非前端逻辑
