cors跨域方案关键在服务端正确响应浏览器校验，需各微服务独立配置access-control-allow-origin等核心响应头，前端调用无需修改；带cookie时origin不能为*且须设allow-credentials为true。
CORS 是微服务架构中前端与各后端服务通信的主流跨域方案，关键不在前端写法，而在于服务端如何正确响应浏览器的跨域校验。只要后端接口按规范返回对应 HTTP 头，前端 fetch 或 axios 调用完全无需修改，就像调用同源接口一样自然。
服务端必须设置的核心响应头
浏览器发起跨域请求时，会检查响应中是否包含合法的 CORS 头。微服务中每个提供 API 的服务（如用户服务、订单服务、支付服务）都需独立配置，不能只靠网关统一处理——因为预检请求（OPTIONS）会直达具体服务实例。
-
Access-Control-Allow-Origin：指定允许的源，生产环境避免用 *；若需携带 Cookie，必须写明确域名（如
https://app.company.com），不能为通配符 -
Access-Control-Allow-Methods：列出该接口支持的方法，如
GET, POST, PUT, DELETE, OPTIONS；注意必须包含OPTIONS，否则预检失败 -
Access-Control-Allow-Headers：声明允许客户端发送的自定义头，如
Authorization, X-Request-ID, Content-Type；若前端发了未声明的头，请求会被拦截 -
Access-Control-Allow-Credentials：设为
true时，前端 fetch 需显式加credentials: 'include'，且Allow-Origin不能是* -
Access-Control-Max-Age：缓存预检结果（单位秒），减少重复 OPTIONS 请求，建议设为
86400（24 小时）
不同技术栈的典型配置方式
微服务通常由多种语言/框架构成，CORS 配置需按服务实际技术落地：
-
Spring Boot（Java）：在 Controller 类或方法上加
@CrossOrigin(origins = "https://app.company.com", allowCredentials = "true")；或全局配置类实现WebMvcConfigurer.addCorsMappings -
Node.js / Express：使用
cors中间件，推荐精细化配置：app.use('/api/users', cors({ origin: 'https://app.company.com', credentials: true }))
避免全局app.use(cors())，防止暴露内部服务路径 -
Nginx 网关层（可选补充）：若所有微服务前有统一入口（如 API 网关），可在 location 块中添加头：
add_header 'Access-Control-Allow-Origin' 'https://app.company.com';<br> add_header 'Access-Control-Allow-Credentials' 'true';<br> add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE';
注意：网关层配置不能替代服务端配置，因 OPTIONS 请求可能绕过网关直连后端
带凭证（Cookie / Session）的跨域要点
微服务常依赖统一认证中心（如 OAuth2 / JWT + Session），前端需把登录态透传给各服务。此时必须协同处理：
- 前端 fetch 必须加
{ credentials: 'include' }；axios 则设withCredentials: true - 每个微服务响应头中
Access-Control-Allow-Credentials: true和Access-Control-Allow-Origin必须严格匹配前端域名，不可为* - 后端 Session 配置需支持跨域：如 Express 的
cookie: { domain: '.company.com', sameSite: 'none', secure: true }；Spring Session 需设server.servlet.session.cookie.domain=.company.com - 若使用 JWT，建议将 token 放在 Authorization header，而非依赖 Cookie，可规避部分跨域 Cookie 限制
调试与常见陷阱
遇到跨域失败，先看浏览器 Network 面板中请求的 Response Headers 是否完整，再检查 Console 是否报错类型：
- 报错
No 'Access-Control-Allow-Origin' header：服务未返回该头，或返回了但值不匹配当前页面源 - 报错
Credentials flag is true, but the 'Access-Control-Allow-Origin' value is '*'：同时设置了credentials: include却用了通配 Origin - OPTIONS 请求 404 或 500：后端未正确处理预检，可能是路由未覆盖 OPTIONS 方法，或中间件顺序错误（CORS 中间件需在 body-parser 之前）
- 看似成功但数据拿不到：检查响应体是否为 JSON 格式，且 Content-Type 为
application/json；某些服务返回 HTML 错误页也会导致解析失败
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
