flask-cors不生效的四大原因：cors配置顺序错误（需在路由前）、蓝图未显式启用、session cookie与cors头设置不匹配（如samesite/secure）、反向代理（nginx/uwsgi）覆盖或过滤响应头。
Flask 的 CORS 看似配了就完事，但实际跑不起来，八成不是插件没装，而是 supports_credentials=True 和 origins=["*"] 冲突、SESSION_COOKIE_SAMESITE 没对齐、或 Nginx 把头吞了——这些细节一错，前端连 OPTIONS 都收不到响应。
Flask-CORS 不生效？先查它有没有管到你的路由
最常见的情况是 CORS(app) 写在所有 @app.route 之后，或者用了 Blueprint 却没单独启用 CORS。Flask-CORS 不会自动穿透未注册的蓝图。
- 全局配置必须放在
app = Flask(__name__)之后、任何@app.route之前 - 蓝图需显式启用：
CORS(blueprint, origins=["http://localhost:3000"])或用装饰器@cross_origin(origins=[...])包住视图函数 - 开发时热重载可能启两个进程，改的配置只加载到旧进程里；可加
use_reloader=False排查 - 自定义
before_request或 WSGI wrapper 若手动操作response.headers，可能清空 CORS 注入的头
带 Cookie 的跨域请求失败？检查 session 和 CORS 的双重设置
前端带 credentials: "include"（比如登录态要传 cookie），后端光开 supports_credentials=True 不够，SESSION_COOKIE_SAMESITE 和 SESSION_COOKIE_SECURE 必须同步设对，否则浏览器直接拒收响应。
-
app.config["SESSION_COOKIE_SAMESITE"] = "None"—— 注意是字符串"None"，不是None值 -
app.config["SESSION_COOKIE_SECURE"] = True—— 开发环境若用http://localhost，得关掉或换 HTTPS 本地代理 -
CORS(app, origins=["https://app.example.com"], supports_credentials=True)——origins必须明确列出，不能是"*" - 这两个层面（session cookie + CORS header）必须同时满足，缺一不可
OPTIONS 预检卡住？确认是否被中间件或 Nginx 干扰
前端发 Content-Type: application/json 或带 Authorization 头时，浏览器必先发 OPTIONS 请求。如果后端没正确响应，真实请求根本不会发出。
- 别手动写
@app.route("/xxx", methods=["OPTIONS"])，这会覆盖 Flask-CORS 默认的预检处理逻辑 - 确保
CORS(app, methods=["GET", "POST", "PUT", "DELETE", "OPTIONS"])显式包含OPTIONS - Nginx 若已配
add_header Access-Control-Allow-Origin，又开了 Flask-CORS，会导致头重复，浏览器可能因Access-Control-Allow-Origin和Access-Control-Allow-Credentials不兼容而拒绝 - 用
curl -I http://localhost:5000/api/test直接看响应头，确认Access-Control-Allow-Origin、Access-Control-Allow-Credentials、Access-Control-Allow-Methods都存在且无冲突
生产部署时 CORS 头消失？优先排查反向代理层
uWSGI、Gunicorn 或 Nginx 很可能过滤或覆盖了 Flask 写出的响应头，尤其当配置了 underscores_in_headers on 或启用了安全模块时。
- Nginx 配置中避免同时用
add_header和 Flask-CORS；如需统一管控，建议关掉 Flask-CORS，全由 Nginx 控制 - 确认 Nginx 没有
proxy_hide_header或fastcgi_hide_header过滤了Access-Control-开头的头 - uWSGI 需加
--disable-logging外的额外参数？不关键；关键是检查header-modifier类配置是否误删头 - 如果用 Docker，确认容器网络和宿主机端口映射没导致 Origin 被篡改（比如 Nginx 透传时没重写
Host）
真正难调的从来不是“怎么开 CORS”，而是“哪个环节悄悄吃掉了头”——Session 设置、蓝图作用域、预检响应、反向代理，四层里只要漏掉一层对齐，浏览器就静默失败，控制台只报一句 “CORS error”，连具体哪条头不对都不会说。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
