HTML无法设置Access-Control-Allow-Origin，因其必须由服务器在HTTP响应头中真实返回；meta标签等前端手段无效，因浏览器仅校验响应头且http-equiv不支持Access-Control-*字段。
HTML 本身不能通过任何方式设置 Access-Control-Allow-Origin，这个响应头必须由服务器在 HTTP 响应中真实返回，浏览器只校验响应头，不读取 HTML 内容。
为什么 <meta http-equiv="Access-Control-Allow-Origin"> 完全无效
很多人在 <head> 里加这行：
<meta http-equiv="Access-Control-Allow-Origin" content="https://myapp.com">
它不会起任何作用。原因很直接：
-
Access-Control-Allow-Origin属于强制校验型响应头，浏览器明确禁止用meta模拟 -
http-equiv只支持极少数可被 HTML 解析的头（如Content-Type、Refresh），不包括任何Access-Control-*字段 - 哪怕你清缓存、换浏览器、本地双击打开 HTML 文件，只要服务端没返回该头，CORS 错误照常出现
真正生效的配置必须落在服务端响应头里
前端页面无论怎么改，都只是“请求发起方”；能否跨域，取决于目标接口返回的 HTTP 响应头。常见服务端写法示例：
立即学习“前端免费学习笔记（深入）”；
- PHP：
header('Access-Control-Allow-Origin: https://myapp.com'); - Node.js/Express：
res.header('Access-Control-Allow-Origin', 'https://myapp.com'); - Nginx 配置段：
add_header 'Access-Control-Allow-Origin' 'https://myapp.com'; - Spring Boot 过滤器或
CorsConfigurationSourcebean 中设config.setAllowedOrigins(Arrays.asList("https://myapp.com"));
注意：协议、域名、端口必须完全一致。比如前端是 http://localhost:3000，就不能只写 localhost 或漏掉 :3000；https://myapp.com 和 http://myapp.com 是两个不同源。
对设计或页面进行 WCAG 2.1 AA 无障碍审计。触发关键词：“audit accessibility”、 “check a11y”、 “is this accessible?” 或在审查设计时使用。
带 cookie 时 Access-Control-Allow-Origin 不能用 *
如果你前端 fetch 加了 { credentials: 'include' }，后端就必须返回具体源，例如：
Access-Control-Allow-Origin: https://myapp.com<br>Access-Control-Allow-Credentials: true
如果此时服务端仍返回 Access-Control-Allow-Origin: *，浏览器会直接丢弃整个响应，并报错：
Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.
这是浏览器硬性限制，不是配置错误。开发阶段若用 file:// 协议打开 HTML，Origin 是 null，也无法匹配任何非通配值——必须用本地服务器（如 python -m http.server）启动前端。
前端哪些操作会触发对 Access-Control-Allow-Origin 的校验
不是所有跨域加载都走 CORS 校验。只有脚本主动发起的、跨域的、非简单资源请求才会检查这个头：
-
fetch('https://api.other.com/data')→ 一定触发 -
XMLHttpRequest跨域请求 → 一定触发 -
new WebSocket('wss://other.com/ws')→ 握手阶段受校验影响 -
<img crossorigin="anonymous" src="https://other.com/a.jpg">→ 加了crossorigin才触发 -
<script src="https://cdn.example.com/lib.js">→ 默认不触发；加crossorigin后才校验
而普通 <img src>、<link href>、<iframe src> 等标签，只要不加 crossorigin 或不通过 JS 访问其内容，就不会触发 Access-Control-Allow-Origin 校验。
最容易被忽略的是：CORS 规则生效有延迟，尤其在 CDN 或代理层缓存了旧响应头时，即使服务端已更新配置，前端可能仍看到旧错误。遇到“明明配了却还报错”，先检查 Network 面板里响应头是否真包含你写的值，再排查缓存链路。
