1. 跨域问题的本质与产生原因跨域问题源于浏览器的同源策略Same-Origin Policy这是现代浏览器最基本的安全机制之一。同源策略要求协议、域名和端口三者完全相同才算同源否则就会被视为跨域请求。比如从http://a.com向http://api.a.com发请求就属于跨域因为子域名不同。在实际开发中前后端分离架构越来越普遍前端应用如React/Vue项目运行在http://localhost:3000而后端API服务部署在http://api.example.com这就必然面临跨域问题。浏览器会拦截这类请求的响应导致前端无法获取数据。关键点跨域限制是浏览器行为不是HTTP协议本身的限制。使用Postman等工具直接请求API能成功但通过浏览器就会失败这就是同源策略在起作用。2. 后端解决方案CORS配置详解2.1 CORS核心响应头后端需要设置以下HTTP响应头来允许跨域Access-Control-Allow-Origin: * Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS Access-Control-Allow-Headers: Content-Type, Authorization Access-Control-Allow-Credentials: trueAllow-Origin: 指定允许访问的源*表示允许所有域名Allow-Methods: 允许的HTTP方法Allow-Headers: 允许的自定义请求头Allow-Credentials: 是否允许发送Cookie等凭证信息2.2 不同语言的后端实现示例Node.js (Express)app.use((req, res, next) { res.header(Access-Control-Allow-Origin, *) res.header(Access-Control-Allow-Methods, GET, POST, PUT, DELETE) res.header(Access-Control-Allow-Headers, Content-Type, Authorization) next() })Java Spring BootConfiguration public class CorsConfig implements WebMvcConfigurer { Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping(/**) .allowedOrigins(*) .allowedMethods(*) .allowedHeaders(*); } }Python Django# settings.py INSTALLED_APPS [ corsheaders, ] MIDDLEWARE [ corsheaders.middleware.CorsMiddleware, ] CORS_ALLOW_ALL_ORIGINS True2.3 预检请求(OPTIONS)处理对于非简单请求如Content-Type为application/json浏览器会先发送OPTIONS预检请求。后端需要正确处理app.options(*, (req, res) { res.header(Access-Control-Allow-Methods, GET, POST, PUT, DELETE) res.header(Access-Control-Allow-Headers, Content-Type) res.status(204).send() })3. 前端解决方案与实战技巧3.1 开发环境代理配置前端开发时可以通过webpack-dev-server或vite配置代理// vite.config.js export default defineConfig({ server: { proxy: { /api: { target: http://backend-server.com, changeOrigin: true, rewrite: path path.replace(/^\/api/, ) } } } })3.2 生产环境Nginx配置server { listen 80; server_name your-domain.com; location /api { proxy_pass http://backend-server.com; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } location / { root /path/to/frontend; try_files $uri $uri/ /index.html; } }3.3 前端代码中的跨域处理对于无法修改后端配置的情况可以使用JSONP仅限GET请求或前端代理// JSONP示例 function jsonp(url, callback) { const script document.createElement(script) script.src ${url}?callback${callback} document.body.appendChild(script) } // 调用 jsonp(http://other-domain.com/api, handleData) function handleData(data) { console.log(data) }4. 高级场景与安全考量4.1 带凭证的跨域请求当需要发送Cookie或认证头时// 前端 fetch(http://api.example.com, { credentials: include }) // 后端响应头必须设置 Access-Control-Allow-Credentials: true Access-Control-Allow-Origin: http://your-frontend.com // 不能是*4.2 跨域资源加载对于图片、字体等静态资源HTML元素可以通过crossorigin属性实现跨域img srchttp://other-domain.com/image.jpg crossoriginanonymous4.3 安全最佳实践生产环境避免使用Access-Control-Allow-Origin: *应明确指定允许的域名对于敏感接口应结合CSRF Token等机制限制允许的HTTP方法和头信息最小化权限考虑使用CORS中间件库如Express的cors包而非手动实现5. 常见问题排查指南5.1 预检请求失败现象浏览器控制台显示OPTIONS请求返回403解决方案确保后端正确处理OPTIONS方法检查Access-Control-Allow-Headers是否包含实际请求头5.2 凭证无法发送现象设置了credentials: include但Cookie未发送解决方案检查响应头是否包含Access-Control-Allow-Credentials: true确保Access-Control-Allow-Origin不是通配符*5.3 响应头缺失现象控制台显示No Access-Control-Allow-Origin header解决方案确认后端中间件是否正确配置检查是否有其他中间件覆盖了CORS头在实际项目中我曾遇到Nginx配置了CORS头但后端应用也配置了CORS中间件导致头信息重复的问题。解决方案是在Nginx中移除重复配置保持单一配置源。