获取$_SERVER['HTTP_ORIGIN']为空？CORS白名单配置疑问

一、先确认请求是否为跨域请求 #

只有跨域的AJAX/Fetch请求才会自动携带Origin头，以下场景不会触发该头：

• 直接在浏览器地址栏访问该PHP文件
• 同域名/同端口下的请求（子域名未跨域的情况也包含在内）
• 用file://协议本地打开页面发起的请求

验证方法：打开浏览器开发者工具（F12）→ 切换到「网络」标签，发起请求后查看请求头列表里是否有Origin字段。如果没有，说明不是跨域请求，$origin为null是正常现象。

二、检查服务器是否传递了Origin头 #

如果确认是跨域请求但仍无Origin，大概率是服务器（如Nginx/Apache）拦截或未将该头传递给PHP，对应配置修改如下：

1. Nginx配置 #

在站点的Nginx配置文件中，添加以下指令确保传递Origin头：

location ~ \.php$ {
    # 保留原有配置，新增以下两行
    fastcgi_pass_header Origin;
    fastcgi_param HTTP_ORIGIN $http_origin;
}

修改后重启Nginx生效。

2. Apache配置 #

在.htaccess或站点配置文件中，添加规则允许传递Origin头：

# 确保mod_headers模块已启用
SetEnvIf Origin "^https?://(.+\.)?your-target-domain\.com$" ORIGIN=$0
RequestHeader set Origin %{ORIGIN}e env=ORIGIN

三、正确处理OPTIONS预请求 #

跨域非简单请求（比如带自定义请求头、POST提交JSON数据）会先发送OPTIONS预请求，若PHP未正确响应，后续请求可能无法携带完整头信息。修改代码优先处理OPTIONS请求：

// 优先响应OPTIONS预请求
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header("Access-Control-Allow-Origin: $allowed_domain");
    header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
    header("Access-Control-Allow-Credentials: true");
    header("Access-Control-Allow-Headers: Content-Type, Accept, Authorization");
    exit;
}

// 处理正常请求
$origin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : null;
header("Access-Control-Allow-Origin: $allowed_domain");
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
header("Access-Control-Allow-Credentials: true");
header("Access-Control-Allow-Headers: Content-Type, Accept, Authorization");
header("X-Frame-Options: ALLOW-FROM $origin");
header("Content-Security-Policy: frame-ancestors 'self' $allowed_domain");

四、备选方案：从HTTP_REFERER提取来源 #

如果确实无法获取Origin，可以尝试从HTTP_REFERER提取域名（注意：Referer可能被浏览器隐私设置禁用，可靠性低于Origin）：

$origin = null;
if (isset($_SERVER['HTTP_ORIGIN'])) {
    $origin = $_SERVER['HTTP_ORIGIN'];
} elseif (isset($_SERVER['HTTP_REFERER'])) {
    $refererInfo = parse_url($_SERVER['HTTP_REFERER']);
    $origin = $refererInfo['scheme'] . '://' . $refererInfo['host'];
}

内容的提问来源于stack exchange，提问作者Thach Mao