CORS 配置失效主因是 flask-cors 未实际接管路由，常见于启动顺序错误（CORS(app) 写在 route 之后）、蓝图未单独启用、多进程热重载未加载新配置、反向代理（如 Nginx）吞掉响应头，或 origins 白名单未显式指定导致预检失败。
CORS 报错不是 Flask 本身的问题，而是浏览器在发请求前卡住了预检（OPTIONS）或拒绝了响应头 —— 用 flask-cors 能解决，但配错就等于没配。
为什么 CORS(app) 有时不生效
最常见的情况是：你写了 CORS(app)，但请求依然被拦，控制台报 No 'Access-Control-Allow-Origin' header is present。这不是插件坏了，而是它没真正接管到那个路由。
- Flask 应用启动顺序出错：比如
CORS(app)写在了@app.route之后，或被其他中间件（如自定义 WSGI wrapper、before_request钩子）覆盖了响应头 - 用了蓝本（Blueprint）但没对蓝本单独启用 CORS：
CORS(app)只作用于全局应用，不自动透传到未注册的蓝本 - 开发时开了多个 Flask 实例（比如热重载启了两个进程），改的代码跑在旧进程里，CORS 配置没加载
- 某些部署环境（如 Nginx + uWSGI）会吞掉响应头，
flask-cors生成的头根本没发出去
如何正确配置 origins 白名单
别用 "*" 搞定一切 —— 它和 supports_credentials=True 冲突，一旦前端带 cookie 或 Authorization 头，浏览器直接拒绝。
- 开发阶段明确列出所有前端地址：
origins=["http://localhost:3000", "http://127.0.0.1:3000", "http://localhost:8000"] - 生产环境必须用 HTTPS 域名，且不能含端口：
origins=["https://myapp.com", "https://admin.myapp.com"] - 如果前端是 Electron 或 WebView，需加
file://协议（仅限可信本地环境）：origins=["file://", "http://localhost:3000"] - 正则匹配慎用：
r"https?://(localhost|myapp)\.com(:\d+)?"看似灵活，但容易漏转义或匹配过宽，调试困难
POST 请求失败？检查是否触发了预检（preflight）
Axios 默认发 Content-Type: application/json，这属于“非简单请求”，浏览器会先发一个 OPTIONS 请求。如果后端没响应这个 OPTIONS，后续 POST 就不会发出。
Python 编程规范
下载
Python 编程规范与最佳实践。强制 PEP 8 代码风格、语法校验、单元测试执行，适用于代码编写、审查和重构。触发词：Python、代码规范、py_compile、单元测试。
立即学习“Python免费学习笔记（深入）”；
-
flask-cors默认处理 OPTIONS，但如果你手动写了@app.route("/xxx", methods=["OPTIONS"])，反而会覆盖它的逻辑 - 确保没禁用
methods参数：CORS(app, origins=..., methods=["GET", "POST", "PUT", "DELETE", "OPTIONS"]) - 如果用了蓝本，推荐用装饰器方式而非全局
CORS(app)：@cross_origin(origins=["http://localhost:3000"])放在具体视图函数上更可控 - 调试时 curl 测试预检：
curl -X OPTIONS http://localhost:5000/api/login -H "Origin: http://localhost:3000" -I，看返回是否有Access-Control-Allow-Origin
部署到 Docker 或 Nginx 后 CORS 又失效
这时候问题大概率不在 Flask，而在反向代理层 —— 它可能删掉了 flask-cors 设置的响应头。
- Nginx 配置中必须显式放行 CORS 头：
add_header 'Access-Control-Allow-Origin' 'http://localhost:3000';，且要加always参数（否则 4xx/5xx 响应不带） - Docker 容器间通信若走 host 网络，注意 Flask 绑定的是
127.0.0.1还是0.0.0.0；绑定127.0.0.1会导致容器外无法访问，CORS 头根本收不到 - uWSGI 需确认
disable-websocket未开启（它会干扰 headers 传递），并检查buffer-size是否太小导致截断响应头 - 最稳的做法：把 CORS 响应头全交给 Nginx 控制，Flask 层彻底不装
flask-cors，避免两层头打架
真正的难点从来不是加一行 CORS(app)，而是搞清请求链路上哪一环吃了你的响应头 —— 浏览器、Flask、WSGI 中间件、反向代理，每个环节都可能静默丢弃头信息。调试时优先用 curl -v 看原始响应，比看浏览器 Network 面板更可靠。
