js跨域问题本质是浏览器同源策略拦截，非前端bug；需前后端协同配置cors，重点检查响应头、预检请求及白名单规则。
JS 跨域问题不是前端能“修好”的 Bug，而是浏览器基于同源策略做的安全拦截；真正要写的不是“绕过方案”，而是前后端协同的 CORS 防坑清单——重点在配置逻辑、常见断点和关键约束。
跨域错误的本质：不是请求失败，是响应被藏起来了
浏览器控制台报错如 “No 'Access-Control-Allow-Origin' header” 时，往往意味着：请求已成功发到后端、后端也返回了数据，但浏览器因缺少合法响应头，拒绝把响应内容交给 JavaScript。所以排查方向永远是：看响应头有没有、对不对、能不能用。
- 用浏览器开发者工具 Network 标签页，点开失败请求 → 查看 Response Headers 是否含
Access-Control-Allow-Origin - 若请求触发了 OPTIONS 预检，必须检查该 OPTIONS 请求的响应头是否完整（不只是主请求）
- 带 Cookie 或 Authorization 的请求，
Access-Control-Allow-Credentials: true和Access-Control-Allow-Origin必须同时满足：后者不能是*，必须写具体域名（如http://localhost:5173）
CORS 配置的三个高频断点
90% 的 CORS 报错集中在以下三处，顺序检查即可快速定位：
-
源未白名单：前端地址（Origin）不在后端
allowedOrigins或allowedOriginPatterns列表中。开发环境用*可行，生产必须精确（如https://app.example.com） -
请求头被拦：前端发了
Cache-Control、Pragma、Authorization等非简单头，但后端Access-Control-Allow-Headers没包含它们。建议设为"Content-Type, Authorization, X-Requested-With"或按需显式列出 -
预检没通关：PUT/DELETE、application/json、自定义 header 都会触发 OPTIONS 请求。后端必须对 OPTIONS 方法返回 200 + 完整 CORS 响应头，并且不执行业务逻辑（即直接
res.end()或next()）
不同后端框架的最小安全配置示例
避免“全开 *”，用最简但可上线的配置起步：
-
Spring Boot（Java）：用
allowedOriginPatterns替代allowedOrigins，支持正则匹配，更灵活.allowedOriginPatterns("https://*.example.com", "http://localhost:5173") -
Express（Node.js）：不用
app.use(cors())全局放行，改用对象配置app.use(cors({ origin: 'https://app.example.com', credentials: true })) -
Nginx（反向代理场景）：在 location 块中加响应头，不依赖应用层
add_header 'Access-Control-Allow-Origin' 'https://app.example.com';<br>add_header 'Access-Control-Allow-Credentials' 'true';<br>add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';<br>add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
前端能做的配合，不是“解决”，而是“不添乱”
前端无法绕过 CORS，但可以减少触发条件、提升调试效率：
- 开发阶段优先用代理（Vite 的
server.proxy或 Webpack 的devServer.proxy），让请求看起来是同源的 - 发请求时明确设置
credentials：需要 Cookie 就写credentials: 'include'，不需要就写'same-origin'，别留默认值 - 避免无意义的自定义 header，比如仅为了调试加
X-Debug: true—— 这会强制触发 OPTIONS 预检 - fetch 中 Content-Type 为
application/json是非简单请求，若后端未允许，可先试text/plain看是否预检通过，再逐步放开
