PHP POST请求不遵循.htaccess的CORS策略问题排查

问题背景 #

我正在搭建供开发使用的沙箱API，允许开发者从本地机器调用，但遇到了CORS相关问题：

1. 初始请求全被CORS策略拦截，于是在.htaccess中添加了以下规则：

Header set Access-Control-Allow-Origin "*"
Header set Access-Control-Allow-Headers "origin, x-requested-with, content-type"
Header set Access-Control-Allow-Methods "PUT, GET, POST, DELETE, OPTIONS"

2. 添加后请求返回200状态码，且确认请求payload已发送，但接收请求的/myp/index.php（代码如下）返回空的$_POST数组：

<?php
print_r ($_POST);
echo "Done";

3. 尝试在PHP文件中添加CORS响应头，反而触发CORS错误。

一、为何添加PHP头会导致CORS拒绝？ #

• .htaccess已经设置了Access-Control-Allow-Origin: *，如果在PHP代码中再次添加同名响应头，会导致响应中出现重复的Access-Control-Allow-Origin头。浏览器的CORS机制要求这个头只能有一个有效值，重复的头会被判定为无效，从而触发CORS错误。
• 若PHP中设置的Origin值和.htaccess的不一致（比如设为特定域名而非*），也会和.htaccess的配置冲突，导致浏览器拒绝。

二、为何请求状态200但PHP无法获取POST参数？ #

• Content-Type不匹配：如果前端发送的是application/json类型的payload，PHP默认不会将其解析到$_POST数组中。此时需要手动读取php://input获取原始请求体，再用json_decode解析。
• OPTIONS预检请求混淆：浏览器发送的OPTIONS预检请求本身不会携带POST参数，若把OPTIONS请求的响应当成实际POST请求的响应，就会看到空的$_POST。需确保服务器正确处理OPTIONS请求：要么让.htaccess自动返回200，要么在PHP中先判断请求方法，OPTIONS请求直接返回响应头即可，不执行业务逻辑。
• 参数格式错误：前端发送的参数如果不是标准的application/x-www-form-urlencoded或multipart/form-data格式，PHP也不会解析到$_POST里。

三、还需排查的点 #

• 检查浏览器开发者工具的Network面板：查看实际发送的请求方法、Content-Type、Request Payload内容，确认是否符合预期；同时查看响应头是否存在重复的CORS相关头。
• 用Postman等工具直接调用API，排除前端代码影响，确认PHP能否正确获取参数。
• 检查服务器mod_headers模块是否开启：.htaccess的Header规则依赖该模块，若未开启，之前的CORS配置并未生效，请求返回200可能是其他原因导致。
• 查看PHP的post_max_size和upload_max_filesize配置：若请求payload过大，会被PHP截断，导致$_POST为空。
• 确认.htaccess文件是否生效：检查是否放在正确目录，服务器是否允许.htaccess覆盖配置（需设置AllowOverride All）。

内容的提问来源于stack exchange，提问作者Zak