如何使用Python Flask-Cors插件解决跨域请求受阻问题？-Python教程-PHP中文网

cors(app)在生产环境失败主因是预检（options）未正确响应，需显式配置methods、allow_headers等参数，并确保origins白名单不与supports_credentials=true冲突，且nginx等反向代理透传cors头。

如何使用python flask-cors插件解决跨域请求受阻问题？

Flask 默认不发任何 CORS 响应头，浏览器看到请求就直接拦——CORS(app) 这一行必须加，但光加这一行，90% 的生产环境仍会失败。

为什么 `CORS(app)` 在开发能过、上线就报错？

因为浏览器对 application/json、Authorization 或自定义 header 的请求，会先发 OPTIONS 预检。而默认的 CORS(app) 只加了 Access-Control-Allow-Origin，缺了 Access-Control-Allow-Methods 和 Access-Control-Allow-Headers，预检直接 405 或静默失败。

常见现象：

Network 面板里 OPTIONS 请求返回 405 Method Not Allowed
fetch 或 axios 报 “No 'Access-Control-Allow-Origin' header”，其实头存在，只是预检没过
POST 请求根本没发出，卡在预检阶段

正确做法是显式声明全部关键项：

from flask import Flask
from flask_cors import CORS
<p>app = Flask(<strong>name</strong>)
CORS(app, 
origins=["<a href="https://www.php.cn/link/bf3e87e214621d9025abdcd1aa8ab2a2">https://www.php.cn/link/bf3e87e214621d9025abdcd1aa8ab2a2</a>", "<a href="https://www.php.cn/link/14ebaf113e1ec6bfb0477bc06b0442b7">https://www.php.cn/link/14ebaf113e1ec6bfb0477bc06b0442b7</a>"],
methods=["GET", "POST", "PUT", "DELETE", "OPTIONS"],
allow_headers=["Content-Type", "Authorization", "X-Requested-With"],
supports_credentials=True
)
</p>

配置 `origins` 白名单时最容易踩的坑

"*" 看似省事，但只要开了 supports_credentials=True（比如前端带 cookie 或 credentials: "include"），浏览器就会彻底拒绝响应——这不是 bug，是规范强制要求。

Python 3.14.2

Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。

下载

必须显式列出所有合法源：

开发期：用完整协议+域名+端口，如 ["http://localhost:3000", "http://127.0.0.1:3000"]
生产期：只写 HTTPS 域名，不带端口，如 ["https://www.php.cn/link/bf3e87e214621d9025abdcd1aa8ab2a2"]
Electron/WebView 场景才考虑 file://，且仅限本地可信环境
别写 CORS_ORIGINS="https://www.php.cn/link/bf3e87e214621d9025abdcd1aa8ab2a2" —— Flask-CORS 不读这个配置项

用了 Blueprint 却发现跨域没生效？

CORS(app) 只作用于注册到 app 的路由，对未注册的蓝图（Blueprint）完全无效。如果你把 API 拆到了 api_bp = Blueprint("api", __name__) 里，又只调了 CORS(app)，那所有 /api/* 路由都不会带 CORS 头。

两种解法任选其一：

全局注册后，再注册蓝图：app.register_blueprint(api_bp)（推荐）
对蓝图单独启用：CORS(api_bp, origins=[...])，然后 app.register_blueprint(api_bp)
或用装饰器方式，在路由上加 @cross_origin(origins=[...])

Nginx/uWSGI 部署后 CORS 失效？

不是 Flask 没配，是反向代理把 Access-Control-* 响应头吞掉了。Nginx 默认不透传自定义响应头，必须显式放开：

location / {
    proxy_pass http://flask_backend;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    # ? 关键：允许透传 CORS 头
    proxy_hide_header Access-Control-Allow-Origin;
    add_header 'Access-Control-Allow-Origin' '$sent_http_access_control_allow_origin' always;
    add_header 'Access-Control-Allow-Methods' '$sent_http_access_control_allow_methods' always;
    add_header 'Access-Control-Allow-Headers' '$sent_http_access_control_allow_headers' always;
}

真正难调试的从来不是 Flask 代码本身，而是预检是否被代理拦截、白名单是否漏掉某类源、或 credentials 和 "*" 的隐性冲突——这些地方一错，请求连后端日志都不会进。