CORS中间件失效主因是注册顺序错误——必须在路由注册前挂载；FastAPI需在app=FastAPI()后、@app.get()前调用add_middleware，Flask禁用装饰器与全局CORS混用。
FastAPI / Flask 里 CORS 中间件为什么没生效？
中间件没生效，八成是注册顺序错了——它必须在所有路由和其它中间件之前挂载。
-
app.add_middleware(CORSMiddleware, ...)要写在app = FastAPI()之后、@app.get(...)之前 - Flask 用户别用
flask-cors的装饰器（@cross_origin）和全局CORS(app)混用，后者会覆盖前者配置 - 如果用了反向代理（Nginx / Traefik），检查是否把
Origin头丢了——Nginx 默认不透传请求头，要加proxy_set_header Origin $http_origin;
Access-Control-Allow-Origin 不能设为 * 又带凭证怎么办？
浏览器明确禁止：一旦响应头包含 Access-Control-Allow-Credentials: true，Access-Control-Allow-Origin 就不能是通配符 *，必须精确匹配前端域名。
- 后端需动态读取请求头的
Origin，白名单校验后原样回写（如https://my-fe.com），而不是硬编码 - FastAPI 的
allow_origins=["*"]在启用了allow_credentials=True时会自动降级为拒绝，日志里可能只报“CORS preflight failed”，没提原因 - 开发时临时用
allow_origins=["http://localhost:3000", "http://127.0.0.1:3000"]更安全，避免本地调试绕过校验
预检请求（OPTIONS）返回 405 或空响应？
这不是 CORS 配置问题，而是路由没处理 OPTIONS 方法——框架默认不自动响应预检，得靠中间件拦截并短路。
- 确认你用的是官方推荐的中间件：
fastapi.middleware.cors.CORSMiddleware或flask_cors.CORS，不是自己手写@app.options - Flask 若用了蓝图（Blueprint），
CORS(blueprint)不会自动处理其子路径的 OPTIONS，得单独调用cors.init_app(blueprint) - 某些 ASGI 服务器（如 Uvicorn）在 debug 模式下会吞掉 OPTIONS 错误日志，换
uvicorn --log-level debug才能看到预检被拒详情
前端发请求还是报 No 'Access-Control-Allow-Origin' header
这个错误说明浏览器根本没收到响应头，不是后端没设，而是请求压根没走到后端逻辑——大概率卡在了中间某个环节。
立即学习“Python免费学习笔记（深入）”；
- 先 curl 测试：
curl -H "Origin: https://example.com" -I http://localhost:8000/api/data，看响应头里有没有Access-Control-Allow-Origin - 如果 curl 有，但浏览器没有，检查前端是否用了
credentials: "include"却没配后端allow_credentials=True，此时浏览器直接拒收响应 - Vue/React 开发服务器（Vite / Webpack Dev Server）自带代理，别在后端再配一遍 CORS——关掉后端中间件，改用前端 devServer.proxy 把请求转过去更干净
跨域真正的麻烦点不在怎么配，而在于哪一层在负责它：是网关？反向代理？ASGI 中间件？还是前端构建工具？漏掉一层，就全白搭。
