CORS错误需先确认预检请求是否被后端正确响应：带自定义header或非标准Content-Type会触发OPTIONS请求，后端必须返回200及Access-Control-Allow-Origin等头；Django需精确配置CORS_ALLOWED_ORIGINS，Flask需显式支持OPTIONS方法；Vue代理仅限开发环境，路径重写和请求前缀必须匹配；后端应统一响应格式，前端需适配字段级错误结构；Cookie认证须前后端同时配置withCredentials和Access-Control-Allow-Credentials:true且Origin不能为*。
Vue 发请求被浏览器拦住：CORS 错误怎么快速定位
前端报 CORS policy: No 'Access-Control-Allow-Origin' header，不是后端没写接口，是浏览器在发 OPTIONS 预检请求时被拒了。Vue 调用 axios.post 或 fetch 时只要带自定义 header（比如 Authorization）、或 Content-Type 不是 application/x-www-form-urlencoded、multipart/form-data、text/plain 中的任一个，就会触发预检——这时候后端必须响应 OPTIONS 请求，且返回正确的 CORS 头。
- 先用 curl 模拟预检：
curl -X OPTIONS -H "Origin: http://localhost:5173" -H "Access-Control-Request-Method: POST" -I http://127.0.0.1:8000/api/login，看是否返回 200 和Access-Control-Allow-Origin - Django 用户别只依赖
djangorestframework-cors-headers，确认CORS_ALLOW_ALL_ORIGINS = False时，CORS_ALLOWED_ORIGINS必须精确匹配前端地址（http://localhost:5173，不能漏协议或端口） - Flask 用户慎用
@cross_origin()装饰单个路由——它默认不处理OPTIONS，得手动加methods=["GET", "POST", "OPTIONS"]，或直接用flask-cors全局注册
Vue 开发服务器代理失效：为什么 /api 转发没走通
Vue CLI 或 Vite 的 proxy 是开发阶段用的，本质是本地 dev server 做反向代理，不解决生产跨域，也不影响后端真实部署行为。失效常见于路径重写规则写错、代理目标未启动、或 Vue 请求 URL 没走代理配置的前缀。
- Vite 中
vite.config.ts的server.proxy写法："/api": { target: "http://127.0.0.1:8000", changeOrigin: true, rewrite: (path) => path.replace(/^\/api/, "") }——注意rewrite是必须的，否则后端收不到/login，而是收到/api/login - Vue 请求必须以
/api开头，比如axios.get("/api/users")；写成axios.get("http://127.0.0.1:8000/api/users")就绕过代理，直连后端，跨域照常发生 - 代理只在
vite dev下生效，build 后的静态文件部署到 Nginx，就得靠 Nginx 配置location /api { proxy_pass http://backend; }，和前端代码无关
后端返回数据格式对不上：Vue 解析 400/500 响应体失败
Vue 默认把非 2xx 响应当成错误，进 catch，但很多 Python 后端（尤其 Django REST Framework）在验证失败时返回 400 + JSON body，而前端如果只读 error.response.data 却没检查结构，容易报 Cannot read property 'message' of undefined。
- Django REST Framework 默认验证错误返回类似
{"email": ["Enter a valid email address."]}，不是扁平的{message: "..."}，前端要适配字段级结构，别硬取err.message - FastAPI 默认 422 错误返回
detail字段，内容是 list，比如[{"loc":["body","age"],"msg":"field required","type":"value_error.missing"}]，需遍历解析，不能当字符串 alert - 统一响应包装很重要：Python 后端建议所有接口都走同一响应格式（如
{"code": 0, "data": {}, "msg": ""}），避免前端反复判断if (res.data.detail)这类分支
Cookie 登录态传不过去：withCredentials 怎么配才生效
Vue 调用需要登录态的接口时，如果后端用 Session/Cookie 认证，必须显式开启凭证传递，否则浏览器根本不会发 Cookie，后端也拿不到 sessionid。
立即学习“Python免费学习笔记（深入）”；
- axios 要设
withCredentials: true（全局或单次请求），Vue 项目里通常在main.ts配置：axios.defaults.withCredentials = true - 后端 CORS 响应头必须包含
Access-Control-Allow-Credentials: true，且此时Access-Control-Allow-Origin不能为*，必须指定具体域名，比如http://localhost:5173 - Django 用户注意：还要开
SESSION_COOKIE_SAMESITE = None和SESSION_COOKIE_SECURE = True（HTTPS 环境下），开发时若用 HTTP，得设SESSION_COOKIE_SECURE = False，否则浏览器拒绝发送 Cookie
跨域问题真正麻烦的从来不是配一行 CORS，而是前后端对“谁该处理预检”“谁该携带凭证”“错误体长什么样”的隐含假设不一致。多抓几次浏览器 Network 里的请求头和响应头，比查文档更快定位卡点。
