Angular前端与PHP后端JWT授权头读取失败问题咨询

结合你给出的代码和请求信息，我来帮你一步步排查并解决这个问题：

1. 先明确：你捕获的是浏览器的预检OPTIONS请求 #

你贴的浏览器请求头里包含Access-Control-Request-Headers: authorization和Access-Control-Request-Method: GET，这不是你代码里发起的实际GET请求，而是浏览器自动触发的OPTIONS预检请求。它的作用是提前询问服务器："我接下来要发送带Authorization头的GET请求，你允许吗？"

如果服务器没正确响应这个预检请求，浏览器会直接阻止后续实际请求发送，或者即使发送了也不会带上Authorization头。这是跨域请求的核心规则之一。

2. 后端PHP先处理CORS预检请求 #

在你的API入口PHP文件最顶部，添加以下代码来配置CORS，重点是允许Authorization头：

// 允许前端实际域名（生产环境不要用*，否则无法携带认证信息）
header("Access-Control-Allow-Origin: http://evil.com/");
// 允许的请求方法
header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
// 必须明确允许Authorization头，否则浏览器不会携带它
header("Access-Control-Allow-Headers: Content-Type, Authorization");
// 如果需要携带Cookie，开启这个（不需要可以去掉）
header("Access-Control-Allow-Credentials: true");

// 处理OPTIONS预检请求，直接返回200状态码结束
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(200);
    exit();
}

3. 确保服务器（Apache/Nginx）把Authorization头传递给PHP #

很多服务器默认会过滤Authorization头，导致PHP的$_SERVER['HTTP_AUTHORIZATION']返回null，需要额外配置：

如果你用Apache： #

修改项目根目录的.htaccess文件，添加：

RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]

或者在Apache全局配置里添加：

SetEnvIf Authorization "(.*)" HTTP_AUTHORIZATION=$1

如果你用Nginx： #

在server配置的location块里添加：

location / {
    fastcgi_pass   127.0.0.1:9000;
    # 把Authorization头传递给PHP-FPM
    fastcgi_param  HTTP_AUTHORIZATION $http_authorization;
    # 其他fastcgi参数保持不变
}

4. 验证前端实际请求是否带了头 #

配置好后端后，打开浏览器开发者工具的Network标签，筛选XHR/Fetch类型，找到你发起的实际GET请求（不是OPTIONS请求），查看它的Request Headers，确认Authorization: Bearer xxx是否存在。

如果还是没看到，检查前端代码：

• 加一行console.log('当前Token:', localStorage.getItem('tokenAPI'))，确认token确实存在
• 检查是否有Angular全局拦截器修改或覆盖了Authorization头

5. 后端读取Authorization头的备选方案 #

如果还是读不到$_SERVER['HTTP_AUTHORIZATION']，可以尝试这两种方式：

// 方式1：读取所有请求头
$headers = getallheaders();
$authorization = $headers['Authorization'] ?? null;

// 方式2：读取重定向后的头（部分服务器会把Authorization存在这里）
$authorization = $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] ?? null;

内容的提问来源于stack exchange，提问作者TotoNaBendo