火狐报“CORS头缺少Access-Control-Allow-Origin”是因同源策略拦截：file://协议下请求被直接阻止，或localhost与127.0.0.1被视为不同源；解决需用CORS Everywhere插件、修改about:config中privacy.file_unique_origin为false、后端配置CORS或Vite代理。
火狐浏览器控制台频繁报出“CORS 头缺少 ‘Access-Control-Allow-Origin’”错误，是因为你在本地开发时直接用 file:// 协议双击打开 HTML 文件，或前端运行在 http://localhost:5173 而请求发往 http://localhost:8080，协议、域名、端口三者中至少有一项不一致，触发了浏览器同源策略的硬性拦截——这不是代码写错了，而是火狐对跨域请求的响应头校验比 Chrome 更严格，且默认启用更保守的安全策略。
确认是否真跨域
先打开浏览器开发者工具 → Network 标签页 → 点击一个失败的请求 → 查看 Headers → 找到 Request URL 和 Response Headers 中的 Access-Control-Allow-Origin 字段是否存在。如果该字段完全缺失，说明后端没返回 CORS 头；如果存在但值是 http://localhost:3000，而你当前页面地址却是 http://127.0.0.1:3000，则因域名不等效仍会报错——【localhost 与 127.0.0.1 在 CORS 中被视为不同源】。
火狐专用插件方案
方法一：安装并启用 CORS Everywhere 插件
1）在地址栏输入 about:addons 回车 → 点击右上角“寻找更多附加组件” → 搜索 CORS Everywhere → 点击第一个结果旁的“添加到 Firefox”；
2）安装完成后，点击插件右侧齿轮图标 → “选项” → 勾选 Enabled at startup → 在 Force value of "access-control-allow-origin" 输入框填入 * → 点击 Save；
3）关闭所有火狐窗口，重新启动浏览器。
方法二：禁用 file:// 协议的唯一源限制（仅限本地 HTML 调试）
在地址栏输入 about:config → 接受风险继续 → 搜索 privacy.file_unique_origin → 双击将其值由 true 改为 false → 重启浏览器即可加载同目录下的 XSL/JS/CSS 等本地资源。
后端 Spring Boot 全局配置
第一步：在项目 config 包下新建 CorsConfig.java 类；
第二步：添加 @Configuration 注解，并实现 WebMvcConfigurer 接口；
第三步：重写 addCorsMappings 方法，在 registry.addMapping("/**") 后链式调用 .allowedOrigins("http://localhost:5173") → 注意不能写成 "*"，否则后续若开启 allowCredentials 将失效；
第四步：补全 .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS") 和 .allowedHeaders("*")；
第五步：若前端需传 Cookie 或 Authorization，必须加 .allowCredentials(true)，同时 origins 必须精确匹配，不可用通配符。
Vite 开发代理配置
打开项目根目录下的 vite.config.ts → 在 server 对象内添加 proxy 配置 → 设置 "/api" 代理目标为 "http://localhost:8080" → 必须开启 changeOrigin: true → 保存后重启 Vite 服务 → 前端请求路径统一改为 "/api/user/list" 形式，不再写完整 URL。
