HTML本身不支持CORS，跨域逻辑由浏览器运行时检查服务器返回的响应头（如Access-Control-Allow-Origin）决定；meta标签无效，预检请求、credentials与通配符互斥等细节出错将导致请求失败或响应被静默丢弃。
HTML 本身不支持、也不参与 CORS 跨域请求的任何环节——它只是静态容器，所有跨域逻辑由浏览器在运行时对 fetch 或 XMLHttpRequest 等 API 的响应头检查决定。
为什么在 <meta http-equiv="Access-Control-Allow-Origin" content="*"> 没用
浏览器完全忽略 HTML 中的 meta 标签声明的 CORS 头。CORS 是 HTTP 协议层机制，只认服务器返回的响应头，比如 Access-Control-Allow-Origin。你加再多 meta，控制台照样报 No 'Access-Control-Allow-Origin' header，且请求根本不会发出去（如果是预检请求失败）或响应被静默丢弃（如果是主请求无头）。
- 常见错误：把
Access-Control-Allow-Origin: *当成“万能开关”，却忘了带credentials: 'include'时它必须失效 - 开发时误写成
localhost:3000（缺协议），应为http://localhost:3000或https://localhost:3000 - 后端直接反射请求头中的
Origin值（如echo $_SERVER['HTTP_ORIGIN']），会引发反射型 CORS 漏洞
前端能做的有限补救只有三类：代理、mode: 'no-cors'、JSONP
当无法修改后端响应头时，前端只能绕行，不是“修复”：
htmlppt.skill
下载
把任意文章或文档内容转换成精美的全屏翻页 HTML 演示文件（幻灯片风格）。当用户发来一篇文章、文档链接、Markdown 内容、或粘贴的文本，并且希望生成演示用的 HTML 时触发。支持任意内容来源：iWiki 链接、KM 链接、本地文件路径、直接粘贴的文本。生成的 HTML 文件保存到本地工作区，并通过企微直接发送给用户。触发词示例：帮我把这篇文章做成PPT、转成演示文档、生成HTML幻灯片、做个演示、转成可以演示的格式、article to deck、make a slide。
-
webpack-dev-server或vite的proxy配置（如proxy: { '/api': { target: 'http://localhost:8000' } }）仅限开发环境；上线必须切回真实域名，否则 404 -
mode: 'no-cors'会让请求发出，但响应变成opaque类型：JavaScript 读不到status、headers、body，只适合埋点、图片上传等无需解析响应的场景 - JSONP 只支持
GET，依赖服务端包裹回调函数（如callback({...})），现代 REST API 几乎都不支持；伪造会触发Uncaught ReferenceError
Nginx 或 Spring Boot 代理 CORS 头要小心预检请求
用反向代理加头看似简单，但容易漏掉 OPTIONS 预检路径的处理：
立即学习“前端免费学习笔记（深入）”；
- Nginx 必须判断
$http_origin是否存在再加头，否则预检请求可能因缺少Access-Control-Allow-Methods被拒 - Spring Boot 中，仅靠
@CrossOrigin注解无法覆盖全局/api/**下的 OPTIONS 请求，尤其当用了拦截器或自定义前缀时，需显式配置CorsConfigurationSource - 若用了 Spring Security，必须调用
http.cors()，否则安全链直接拦截预检请求，返回 403 或 405
真正难的不是加几个响应头，而是理解预检请求的触发条件、凭证与通配符的互斥关系、以及暴露自定义响应头（如 X-Request-ID）必须显式声明 Access-Control-Expose-Headers——这些细节一错，前端就收不到想要的数据，连错误提示都可能静默消失。
