火狐跨域拦截需分步排查：先确认是否真跨域（协议/域名/端口三者任一不一致即跨域），再区分简单请求与options预检，检查响应头access-control-allow-origin、methods、headers是否全且精确匹配，最后排除file://协议、证书异常、高危端口及火狐特有策略限制。
火狐浏览器跨域请求被拦截时，控制台只显示“已拦截跨源请求”却没给具体原因，Network里请求状态为空或标着“已取消”，根本看不出是前端发错了、后端漏配了，还是火狐自己卡住了——必须用开发者工具一层层剥开，跳过任何一步都会白调。
确认请求是否真被跨域拦截
打开火狐开发者工具（Ctrl+Shift+I 或 Cmd+Opt+I）→ 切换到 Network 标签页 → 刷新页面 → 找到那个失败的请求行，点击它。
先看 Request URL：如果协议、域名、端口三者中任意一项不一致，比如页面是 http://localhost:5173，而请求发往 http://127.0.0.1:5173，【localhost 与 127.0.0.1 在 CORS 中被视为不同源】，这就算跨域，哪怕只是 IP 和域名写法不同。
再看响应状态码：如果是 200 却报 CORS 错误，说明请求确实发出去了、服务器也返回了，但火狐拒绝读取响应体——问题出在响应头缺失或不合规，不是网络不通。
区分是简单请求还是预检请求
在选中的请求详情页中，切换到 Headers 标签 → 查看 Request Headers 区域。
方法一：检查是否有自定义 Header
比如 Authorization、x-request-id、X-Auth-Token 这类非标准字段，只要出现一个，浏览器就会自动触发 OPTIONS 预检，哪怕你代码里只写了 fetch('/api')。
方法二：检查 credentials 是否为 include
如果你的 fetch 配置了 { credentials: 'include' }，哪怕只传了个 Cookie，也强制触发预检——这时后端必须同时支持 OPTIONS 方法并返回完整响应头，否则后续 GET/POST 根本不会发出。
方法三：看 Initiator 列和 Method 列
如果 Method 是 OPTIONS，且 Initiator 显示为 fetch 或 xhr，这就是预检；如果 Method 是 POST 但状态为空、Response Headers 里没有 Access-Control-Allow-Origin，那大概率是预检失败导致主请求被拦掉，别急着查 POST 响应头。
检查预检响应头是否全且匹配
第一步：找到那个 OPTIONS 请求，点击进入详情页 → 切换到 Headers 标签 → 滚动到 Response Headers 区域。
第二步：逐项核对三项关键响应头是否存在且值正确：
① Access-Control-Allow-Origin 必须存在，且值必须精确等于当前页面源（如 http://localhost:5173），不能是 *（当 credentials: 'include' 时）；
② Access-Control-Allow-Methods 必须包含你实际要用的 HTTP 方法（比如 DELETE 就得写进去，光写 GET、POST 不够）；
③ Access-Control-Allow-Headers 必须列出所有自定义请求头（比如你发了 x-request-id，这里就必须有 x-request-id，漏一个就失败）。
这三项中任意一项缺失、拼写错误、大小写不一致、多空格或值不精确匹配，预检就失败，后续请求永远不会发出——此时问题一定在后端或 Nginx 配置，跟火狐无关。
排除火狐特有协议限制
如果地址栏显示的是 file:///xxx/index.html，而页面试图加载同目录下的 JS、JSON 或 XSL 文件，火狐会直接拦截——这不是 CORS 配置问题，而是 file:// 协议被默认封锁。
临时解法：在地址栏输入 about:config → 接受风险继续 → 搜索 privacy.file_unique_origin → 双击改为 false → 重启浏览器。
更干净的解法：用 Vite、Python -m http.server 或 Live Server 启一个 http://localhost 服务，把所有 file:// 全部替换掉。这一步做完，file 协议引发的“跨域”就彻底消失。
验证证书与端口是否被火狐额外拦截
方法一：检查证书信任状态
在地址栏输入 about:preferences#privacy → 左侧点“隐私与安全”→ 拉到最底下点“证书”→ “查看证书”→ “添加例外”→ 输入你的后端地址（如 https://127.0.0.1:5000）→ 点击“获取证书”→ 勾选“永久存储此例外”→ 确认。
方法二：换端口测试
火狐默认禁止访问 3000、5000、8000 等高危端口，哪怕后端开了 CORS，请求也可能在建立连接前就被丢弃。把后端服务改到 8080 或 8888 再试一次，如果立刻成功，就是端口被拦了。
方法三：启用 CORS Everywhere 插件快速验证
在 about:addons 页面搜索安装 CORS Everywhere → 进入插件选项 → 勾选 Enabled at startup → 在 Force value of "access-control-allow-origin" 中填 * → Save → 关闭所有窗口并重启火狐。如果插件启用后请求通了，说明问题出在服务端响应头，不是前端代码或网络配置。
