php header()跨域失效主因是响应头已发送，需用headers_sent()检测并消除bom、输出及框架干扰；apache/nginx可能覆盖php头，应统一控制层；带credentials时须动态校验origin白名单；options预检请求必须单独处理并返回完整cors头。
PHP header() 设置跨域头被覆盖怎么办
PHP 的 header() 跨域设置无效，最常见原因是后续代码（包括框架、错误输出、echo/print、甚至 BOM 字符）提前触发了 HTTP 响应头发送，导致 header() 失败且静默忽略。PHP 不允许在 headers 已经 sent 后再次修改。
- 用
headers_sent($file, $line)检查是否已发头：放在你写header('Access-Control-Allow-Origin: *')之前，如果返回true，说明头已被发走，$file和$line会指出位置 - 确保没有
echo、print、var_dump、trigger_error等任何输出（含空格、换行、UTF-8 BOM）出现在header()之前 - 检查是否引入了其他 PHP 文件（如配置文件、工具类），它们可能有不可见输出；用十六进制编辑器确认无 BOM
- 若用 Composer 自动加载或框架（如 Laravel、ThinkPHP），
header()必须在响应构造阶段调用，而非控制器逻辑末尾随意写
Apache / Nginx 配置与 PHP header() 冲突吗
会冲突。Web 服务器和 PHP 都可设置跨域头，但最终以「最后生效的值」为准——而多数情况下，服务器层头会覆盖 PHP 层，尤其当 PHP 没抢在输出前设好时。
- Apache 中若用了
Header set Access-Control-Allow-Origin "*"，又在 PHP 中重复设，浏览器只看到一个；但若 Apache 配置有always标志（如Header always set ...），它会强制覆盖 PHP 的同名头 - Nginx 中
add_header默认只对 2xx/3xx 响应生效；若 PHP 返回 500，该头根本不会发出，而你的header()又因错误没执行，就彻底没跨域头 - 建议统一入口：要么全由 Web 服务器控制（适合静态资源、统一策略），要么全由 PHP 控制（适合动态策略，如按 Origin 白名单校验），不要混用
Access-Control-Allow-Origin 不能用 * 配合 credentials 怎么办
这是浏览器强制限制：Access-Control-Allow-Origin: * 和 Access-Control-Allow-Credentials: true 不能共存。一旦前端请求带 withCredentials: true（比如传 Cookie），后端必须返回明确的、非通配的 Origin 值。
- 不要硬写死某个域名，用
$_SERVER['HTTP_ORIGIN']动态读取并白名单校验：$origin = $_SERVER['HTTP_ORIGIN'] ?? ''; $allowed = ['https://a.example.com', 'https://b.example.com']; if (in_array($origin, $allowed)) { header("Access-Control-Allow-Origin: $origin"); header('Access-Control-Allow-Credentials: true'); } - 注意
$_SERVER['HTTP_ORIGIN']可能为空（非 CORS 请求）或伪造（服务端不校验则无意义），务必白名单比对，不能直接回显 - Chrome 对 localhost 和 file:// 协议有特殊处理，测试时优先用
http://127.0.0.1避免意外拦截
为什么 OPTIONS 预检请求没返回跨域头
浏览器对非简单请求（如带自定义 header、Content-Type 为 application/json、method 为 PUT/DELETE）会先发 OPTIONS 预检。若该请求没收到正确跨域头，整个请求就被拦住——而很多人只给实际接口加了 header()，忘了预检。
立即学习“PHP免费学习笔记（深入）”；
- 必须对
$_SERVER['REQUEST_METHOD'] === 'OPTIONS'做单独响应，并返回完整跨域头（包括Access-Control-Allow-Methods、Access-Control-Allow-Headers等） - OPTIONS 响应体应为空，状态码为 204；不要 echo 任何内容，否则可能破坏头发送
- 常见漏掉的头：
Access-Control-Allow-Headers: Content-Type, X-Requested-With, Authorization（需与前端实际发送的 header 匹配） - 若用 Nginx，可用
if ($request_method = 'OPTIONS') { add_header ...; return 204; }提前拦截，避免进 PHP
跨域问题真正难的不是写那几行 header()，而是理清「谁在什么时候、以什么顺序、往哪一层写了哪些头」。尤其是混合使用框架、中间件、Web 服务器配置时，一个 echo '' 或一次未捕获的 Notice 都会让所有设置失效。
