不记名令牌已被 CORS 政策阻止

Question

我在跨源访问时遇到问题。 当我发送授权标头中没有不记名令牌的请求时，它可以工作。 当我使用不记名令牌执行相同的请求时，我收到以下警报：

从源访问“XXX/API/TEST/TEST.php”处的 XMLHttpRequest “http://localhost:4200”已被 CORS 策略阻止：响应 预检请求未通过访问控制检查：它没有 HTTP 正常状态。

在我的 php API 中，我有以下标头：

header("Access-Control-Allow-Origin: *");
header("Content-Type: application/json; charset=UTF-8");
header("Access-Control-Allow-Methods: *");
header("Access-Control-Max-Age: 3600");
header ("Access-Control-Allow-Headers: Content-Type, Authorization, Accept, Accept-Language,X-Authorization");

在我的 js 脚本中，我有：

xhr.setRequestHeader("Accept", "application/json");   
xhr.setRequestHeader("Authorization", "Bearer " + getCookie(COOKIE_NAME));
xhr.setRequestHeader('Content-type', 'application/x-www-form-urlencoded');

我看到了以下建议：

在客户端上，指定要包含在请求中的授权标头。

在服务器上，使用 Access-Control-Allow-Origin 标头进行响应，其中包含执行请求的源或通配符。

在服务器上，以 Access-Control-Allow-Headers: Authorization 进行响应，通知浏览器允许请求中的 Authorization 标头。

但我无法让它发挥作用。

编辑1 我发现出了什么问题： 当我使用方法 PUT 或 DELETE 时，它会发送一个以“OPTIONS”作为方法类型的预检请求。 但我的 php 代码不允许选项，我在标题后添加以下代码，它工作正常！

if($_SERVER['REQUEST_METHOD'] === "OPTIONS"){
    http_response_code(200);
    exit;
}