标签： Access-Control-Allow-Headers

在 Yii2 中，当服务端异常时未响应 500，而是导致浏览器提示 CORS 错误。经排查，后端设置的 access-control-allow-origin 头被通用配置覆盖。解决方案是注释原有分散的 setAllowOrigin 调用，改为在所有 API 控制器的基类中集中配置。最终验证显示，异常时能够正常返回预期的响应头和状态，前端体验恢复正常，且对未配置的域名仍能正确拦截。