Yii2 cors 过滤错误，即不存在“访问控制-允许-源”标头

如果CORS标头出现任何问题，我建议使用以下说明：

1. 将 cors 配置添加到控制器。例如：

   /**
    * List of allowed domains.
    * Note: Restriction works only for AJAX (using CORS, is not secure).
    *
    * @return array List of domains, that can access to this API
    */
   public static function allowedDomains() {
       return [
           // '*',                        // star allows all domains
           'http://test1.example.com',
           'http://test2.example.com',
       ];
   }
   
   /**
    * @inheritdoc
    */
   public function behaviors() {
       return array_merge(parent::behaviors(), [
   
           // For cross-domain AJAX request
           'corsFilter'  => [
               'class' => \yii\filters\Cors::className(),
               'cors'  => [
                   // restrict access to domains:
                   'Origin'                           => static::allowedDomains(),
                   'Access-Control-Request-Method'    => ['POST'],
                   'Access-Control-Allow-Credentials' => true,
                   'Access-Control-Max-Age'           => 3600,                 // Cache (seconds)
               ],
           ],
   
       ]);
   }
   

2. 上面的代码将添加到响应中特殊的http标头。使用浏览器调试工具检查 http 标头：

3. 请求 http 标头应包含 。它将由浏览器在Crossdomain AJAX上自动添加。这个http头文件也可以通过你的JS库添加。没有这个http头将不起作用。OrigincorsFilter

   POST /api/some-method-name HTTP/1.1
   Host: api.example.com
   Connection: keep-alive
   Content-Length: 86
   Accept: */*
   Origin: https://my-site.example.com
   User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36
   Content-Type: application/x-www-form-urlencoded; charset=UTF-8
   Referer: https://my-site.example.com/
   Accept-Encoding: gzip, deflate, br
   Accept-Language: en-GB,en;q=0.8,en-US;q=0.6,ru;q=0.4
   

4. 响应 http 标头应包含标头。此 http 标头将由 添加。Access-Control-*corsFilter

   HTTP/1.1 200 OK
   Access-Control-Allow-Credentials: true
   Access-Control-Allow-Origin: https://my-site.example.com
   Content-Type: application/json; charset=UTF-8
   Date: Fri, 24 Feb 2017 09:21:47 GMT
   Server: Apache
   Content-Length: 27
   Connection: keep-alive
   

5. 如果您在响应中没有看到这些 http 标头，则可能意味着它不起作用或与其他筛选器冲突。\yii\filters\Cors

6. 检查控制器中的其他行为/过滤器。尝试添加为第一个行为。可能还有其他一些行为会阻止 执行 。corsFiltercorsFilter

7. 尝试禁用此控制器的 CSRF 验证（可能会阻止外部访问）：

   /**
    * Controller for API methods.
    */
   class ApiController extends Controller
   {
   
       /**
        * @var bool See details {@link \yii\web\Controller::$enableCsrfValidation}.
        */
       public $enableCsrfValidation = false;
   
       // ...
   }
   

8. 如果使用身份验证器筛选器（例如，控制器扩展），则必须在身份验证方法之前应用 CORS 筛选器。此外，还必须为 CORS 预检请求禁用身份验证，以便浏览器可以安全地确定是否可以事先发出请求，而无需发送身份验证凭据。yii\rest\ActiveController

   use yii\filters\auth\HttpBasicAuth;
   
   public function behaviors()
   {
       $behaviors = parent::behaviors();
   
       // remove authentication filter
       $auth = $behaviors['authenticator'];
       unset($behaviors['authenticator']);
   
       // add CORS filter
       $behaviors['corsFilter'] = [
           'class' => \yii\filters\Cors::className(),
       ];
   
       // re-add authentication filter
       $behaviors['authenticator'] = $auth;
       // avoid authentication on CORS-pre-flight requests (HTTP OPTIONS method)
       $behaviors['authenticator']['except'] = ['options'];
   
       return $behaviors;
   }
   

9. 此外，还应检查您的Web服务器。可能nginx可能需要额外的配置，apache可能需要重新启动。

10. Access-Control-*可以使用web服务器添加响应标头（请参阅apache和nginx）。但我不建议使用这种方式，因为在这种情况下，您无法使用应用程序管理http-haders。

11. 一些有用的信息可以在这里找到：

    • Yii2：如何在非 restfull API 上允许 CORS

试试这个 ：

public static function allowedDomains()
{
    return [
        // '*',                        // star allows all domains
        'http://localhost:3000',
        'http://test2.example.com',
    ];
}  



public function behaviors()
    {
        return array_merge(parent::behaviors(), [

            // For cross-domain AJAX request
            'corsFilter'  => [
                'class' => \yii\filters\Cors::className(),
                'cors'  => [
                    // restrict access to domains:
                    'Origin'                           => static::allowedDomains(),
                    'Access-Control-Request-Method'    => ['POST'],
                    'Access-Control-Allow-Credentials' => true,
                    'Access-Control-Max-Age'           => 3600,                 // Cache (seconds)

                ],
            ],

        ]);
    }

在控制器上添加此功能。

和 One Thing angular2 在第一次使用 OPTION 方法，所以允许 OPTION 方法也