PHP+Slim API配置CORS后仍报缺少Access-Control-Allow-Origin头错误

我明白这种明明配置了CORS规则却还是弹出「请求的资源上不存在'Access-Control-Allow-Origin'头」错误的挫败感——尤其是你已经在响应头里看到正确的CORS头信息了，这种矛盾的情况真的很让人头疼。结合你的描述和给出的请求/响应头信息，我整理了几个可能的解决方向：

1. 先排除浏览器缓存的干扰 #

浏览器有时候会顽固地缓存之前未配置CORS时的请求响应，哪怕你现在已经配置正确了，它还是会用旧的缓存数据来判断。试试这几个操作：

• 用Ctrl+Shift+R强制刷新页面，或者直接清空浏览器的缓存
• 打开浏览器的隐私/无痕窗口，重新发起跨域请求测试
• 在请求URL后面加个随机参数，比如http://ricardochen.com/index2.php?rand=123，避免命中缓存

2. 确保OPTIONS预检请求被正确处理 #

跨域请求中的复杂请求（比如带自定义头、非GET/POST的方法）会先发送OPTIONS预检请求，你的.htaccess虽然设置了CORS头，但可能没有正确处理OPTIONS请求的路由：

方案A：在.htaccess中添加OPTIONS请求处理规则 #

在RewriteEngine On之后添加这段规则，让OPTIONS请求直接返回200状态码，不用转发到index.php：

RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

方案B：在PHP代码中主动处理OPTIONS请求 #

哪怕是你精简的index2.php，也可以加上对OPTIONS请求的处理，确保预检请求能拿到正确的CORS头：

<?php
// 先处理OPTIONS预检请求
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header('Access-Control-Allow-Origin: *');
    header('Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE, PUT');
    header('Access-Control-Allow-Headers: X-Requested-With, Content-Type, Origin, Authorization, Accept, Client-Security-Token, Accept-Encoding');
    exit;
}

// 正常返回数据
$data = "test";
header('Content-Type: application/json');
echo json_encode($data);
?>

3. 确认Apache的mod_headers模块已启用 #

你的.htaccess里用到了Header指令，这个指令依赖Apache的mod_headers模块。如果服务器没开启这个模块，这些Header配置是不会生效的（虽然你的响应头里显示了CORS头，可能已经开启，但还是建议确认下）：

• 可以在PHP文件里添加phpinfo();，然后搜索mod_headers，看是否显示已启用
• 如果是自己的服务器，可以通过a2enmod headers命令开启模块，然后重启Apache

4. 检查跨域请求的发起场景 #

注意：直接在浏览器地址栏访问API URL是不会触发CORS检查的，只有当你从另一个域名的网页（比如localhost的页面、其他网站的页面）通过AJAX/fetch发起请求时，才会触发CORS验证。确保你是在正确的场景下测试的——比如写一个简单的本地HTML页面，用fetch请求你的API，再看是否还报错。

内容的提问来源于stack exchange，提问作者Ricardo Chen He