浏览器同源策略在响应交付前主动拦截导致CORS报错，需通过禁用安全策略或安装可信CORS扩展临时绕过：关闭所有Chrome进程后，使用全新user-data-dir执行--disable-web-security命令，或安装CORS Unblocked插件并启用，Chrome 108+还需追加--disable-features=BlockInsecurePrivateNetworkRequests参数。
本地调试前端项目时，控制台突然弹出“Access to fetch at 'http://localhost:8080/api' from origin 'http://localhost:3000' has been blocked by CORS policy”红色报错，请求明明已发出、后端也返回了200状态码，但JavaScript就是读不到响应内容——这是浏览器同源策略在响应交付前主动拦截所致，必须临时绕过才能继续调试。
命令行启动独立无安全限制会话
第一步：彻底关闭所有Chrome进程。Windows用户打开任务管理器→“详细信息”页签→逐个结束全部chrome.exe；macOS用户打开活动监视器→搜索“Google Chrome”→选中所有实例→强制退出；Linux用户执行killall google-chrome。这一步漏掉任一后台残留进程，后续参数将完全失效。
第二步：执行对应系统命令，【必须使用全新的--user-data-dir路径，重复使用旧路径会导致--disable-web-security彻底不生效】。Windows示例：chrome.exe --user-data-dir="C:\ChromeDevSession" --disable-web-security；macOS示例：open -n -a "Google Chrome" --args --user-data-dir="/tmp/chrome_dev_test" --disable-web-security；Linux示例：google-chrome --user-data-dir="/tmp/chrome_dev_test" --disable-web-security。
第三步：新窗口启动后，若地址栏下方出现黄色提示条“您使用的是不受支持的命令行标记”，即表示同源策略已禁用成功。此时可直接打开file://协议的HTML文件，或访问localhost不同端口的API，CORS拦截消失。
安装可信CORS扩展快速放行
方法一：打开Chrome网上应用店，搜索并安装CORS Unblocked（开发者Ritwick Dey）或Allow CORS: Access-Control-Allow-Origin。这两个插件经长期验证，签名有效，适配当前Chrome版本。
方法二：点击浏览器右上角拼图图标→找到刚安装的插件→点击右侧开关启用。注意：部分新版Chrome要求先点击插件图标，在弹出面板中手动将模式切换为“Enable CORS”，否则开关看似开启但实际未生效。
方法三：刷新当前页面，观察控制台是否清除CORS报错。该方案不修改浏览器底层策略，仅对匹配域名的响应头注入Access-Control-Allow-Origin: *，适合日常轻量调试。
绕过私有网络拦截（Chrome 108+必备补充）
① 彻底退出所有Chrome进程（任务管理器/活动监视器确认无残留）；
② 在原命令后追加--disable-features=BlockInsecurePrivateNetworkRequests参数；
③ Windows执行：chrome.exe --disable-web-security --disable-features=BlockInsecurePrivateNetworkRequests --user-data-dir="C:\ChromeDevSession"；macOS执行：open -n -a "Google Chrome" --args --disable-web-security --disable-features=BlockInsecurePrivateNetworkRequests --user-data-dir="/tmp/chrome_dev_test"；
④ 启动后若地址栏下方仍显示“您使用的是不受支持的命令行标记”，即表示两项策略均已绕过。此步骤专治调用localhost/127.0.0.1/192.168.x.x服务时出现“more-private address space `local`”类报错。
