html表单跨域提交无需cors，因其是导航行为，绕过cors检查；但提交后js无法读取响应，若需不跳转获取数据，须改用fetch+formdata并配置服务端cors。
HTML 表单本身就能跨域提交，不需要任何 CORS 配置——浏览器根本不会拦截这个请求。但你真正卡住的地方，通常是「提交后拿不到响应」或「误以为要配 CORS 才能发出去」。
表单跨域提交为什么不需要 CORS
原生 <form></form> 提交是导航行为，不是 AJAX 请求。它绕过所有 CORS 检查：不发 OPTIONS 预检、不校验 Access-Control-Allow-Origin、不看响应头。只要服务端能接收 POST，请求就一定能到。
- 浏览器允许跨域发送：
<form action="https://other-domain.com/submit" method="POST"></form>会直接跳转过去 - 服务端收到的请求里，
Origin头可能为空（因非 CORS 上下文），也可能带原始域名（取决于浏览器实现） - 关键限制在“读取”：提交后页面跳转到目标域，当前页 JS 无法访问新页面的 DOM 或响应体
- 如果你在控制台看到 CORS 报错，那大概率是你用
fetch模拟了表单提交，而不是用了原生<form></form>
想留在当前页读取 JSON 响应？必须改用 fetch + FormData
一旦你需要不跳转、显示 loading、解析返回的 { success: true }，就得放弃原生 <form></form>，改用 JS 控制流。这时 CORS 才真正起作用。
- 必须显式设置
mode: 'cors'，否则浏览器会静默降级为opaque响应（JS 拿不到 status 或 body） - 含文件上传时，别手动设
Content-Type头——FormData会自动生成带boundary的 multipart 头，触发预检；服务端得响应 OPTIONS 并返回Access-Control-Allow-Headers: Content-Type - 如果要携带 Cookie，前端需加
credentials: 'include'，服务端Access-Control-Allow-Origin就不能是*，得写具体域名 -
enctype="multipart/form-data"在<form></form>中生效，但在fetch中无效——靠的是new FormData(formEl)自动识别 input[type=file]
表单 target + iframe 是唯一能“伪同步”获取响应的同源方案
不改架构、又不想跳转？可以用同源 iframe 当目标容器，再通过 postMessage 或重定向回调把结果传回来。
- 给
<form></form>加target="my-iframe"，并配一个同源的<iframe name="my-iframe"></iframe> - 服务端响应必须是 HTML 页面（不能只返回 JSON），里面嵌一段
<script>window.opener?.postMessage(...)</script> - 当前页监听
window.addEventListener('message', ...)接收数据 - 注意：iframe 内容加载后，JS 才能读取其
contentWindow.location；若服务端重定向到跨域地址，会触发同源策略报错 - 这个方案不依赖 CORS，但要求服务端配合返回可执行脚本的 HTML，且 iframe 必须同源
最容易被忽略的点：表单提交是否真的需要“跨域响应读取”。如果只是跳转到登录成功页、支付结果页这类独立页面，原生 <form></form> 就是最简单安全的选择；一旦涉及前后端状态联动、错误提示、局部刷新，就必须切到 fetch 路线，并确保服务端正确处理预检和响应头。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
