VSCode 不处理 CORS，问题在于 Node 服务未正确配置跨域响应头；解决方法为后端配置 cors 中间件（需置于路由前）或前端开发阶段使用代理。
直接上结论：VSCode 本身不处理 CORS，问题出在你用 Node（比如 Express）起的本地服务没配好跨域响应头，浏览器拦截了请求。解决方式只有两种——改后端响应头，或前端开发阶段用代理绕过。
为什么 app.use(cors()) 放错位置会失效
Express 中间件顺序决定执行时机。cors() 必须在所有路由定义之前注册，否则路由先匹配并返回响应，cors 根本没机会加响应头。
- ❌ 错误写法（
cors在app.get(...)之后）：预检 OPTIONS 请求直接 404 或无响应头，浏览器报No 'Access-Control-Allow-Origin' header is present - ✅ 正确顺序：先
app.use(cors())，再定义app.get('/api/...')等路由 - ⚠️ 特别注意：如果你用了
app.use(express.json())或express.urlencoded()，它们也得放在cors()后面——但必须在路由前
开发环境用 cors 的安全边界在哪
cors() 默认允许所有源（origin: "*"），这对本地开发方便，但有两个硬限制必须知道：
- 带凭证（如 Cookie、Authorization header）时，
origin不能为"*"，否则浏览器拒绝。此时必须显式指定前端地址，例如：origin: "http://localhost:5173" - 前端若发了
cache-control、pragma这类非简单请求头，cors默认不放行，要手动加allowedHeaders配置 - 示例配置：
const corsOptions = {
origin: "http://localhost:5173",
credentials: true,
allowedHeaders: ["Content-Type", "Authorization", "cache-control", "pragma"]
};
app.use(cors(corsOptions));
不用 cors 模块也能快速解决？可以，但要注意 OPTIONS 预检
手动设响应头最简方案是全局中间件，但它必须显式处理 OPTIONS 请求，否则预检失败：
- 浏览器对非简单请求（如带自定义 header、
PUT/DELETE方法）会先发OPTIONS预检 - 如果中间件没捕获
OPTIONS并返回 204 或 200，后续请求直接被拦 - 可靠写法：
app.use((req, res, next) => {
res.header("Access-Control-Allow-Origin", "http://localhost:5173");
res.header("Access-Control-Allow-Credentials", "true");
res.header("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
res.header("Access-Control-Allow-Headers", "Content-Type, Authorization, cache-control, pragma");
if (req.method === "OPTIONS") {
res.sendStatus(204);
return;
}
next();
});
真正容易被忽略的是：前端发请求时是否带了未声明的 header，以及后端是否把 Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials 同时配对使用——这两个头一旦冲突（比如前者是 *，后者是 true），整个跨域就失效，且错误信息极不直观。
