火狐CORS报错需分步定位：先通过Network标签页确认请求类型（OPTIONS预检或简单请求），再检查响应头是否含合规的Access-Control-Allow-Origin等字段，接着排除file://协议限制和证书信任问题，最后可临时启用CORS Everywhere插件调试。
当你在火狐浏览器中看到“CORS 头缺少 Access-Control-Allow-Origin”或“CORS preflight request failed”这类报错，却无法判断是前端发错了、后端漏配了，还是火狐自身策略卡住了，就必须借助开发者工具逐层拆解——这一步不能跳过，否则所有配置尝试都是盲调。
定位失败请求的真实类型
打开火狐开发者工具（Ctrl+Shift+I 或 Cmd+Opt+I）→ 切换到 Network 标签页 → 刷新页面 → 找到状态为“已取消”或“预检失败”的请求行 → 点击它。
重点看 Request URL 和 Initiator 列：如果 URL 是 OPTIONS 方法且 Initiator 显示为 fetch 或 xhr，说明触发了预检；如果 URL 是 GET/POST 但状态码为空或显示“CORS Error”，则大概率是简单请求被拦截。这一步决定你接下来该查响应头还是先看请求头。
若请求方法是 OPTIONS，直接跳到“检查预检响应头”步骤；若不是，先确认是否含自定义 Header（如 Authorization、x-request-id）或 credentials: 'include' ——只要满足其一，浏览器就一定会发 OPTIONS 预检，哪怕你代码里没写。
检查预检响应头是否合规
在选中的请求详情页中，切换到 Headers 标签 → 向下滚动到 Response Headers 区域 → 查找以下三项：
【Access-Control-Allow-Origin】 必须存在，且值必须精确匹配当前页面源（例如 http://localhost:5173），不能是 *（当 credentials 为 true 时）；
Access-Control-Allow-Methods 必须包含你实际使用的 HTTP 方法（如 PUT、DELETE）；
Access-Control-Allow-Headers 必须列出所有自定义请求头（比如 x-request-id、X-Auth-Token），一个都不能少——漏一个，预检就失败，后续请求根本不会发出。
如果这三项中任意一项缺失或值不匹配，问题一定出在后端或反向代理（如 Nginx）的 CORS 配置上，和火狐无关。
确认火狐是否因 file:// 协议拦截本地资源
如果你是双击打开 HTML 文件（地址栏显示 file:///xxx/index.html），而页面又试图加载同目录下的 JS、XSL 或 JSON 文件，火狐默认会拒绝——这不是跨域配置问题，而是协议级封锁。
方法一：改用本地服务器启动 用 Python、Vite、Live Server 等工具起一个 http://localhost 服务，把 file:// 全部替换掉，这是最干净的解法。
方法二：临时关闭 file 协议唯一源限制 在地址栏输入 about:config → 接受风险并继续 → 搜索 privacy.file_unique_origin → 双击将其设为 false → 【重启整个火狐进程，不是仅刷新标签页】。
验证火狐是否信任目标服务器证书
当请求目标是 https://localhost:8080 或自签名域名（如 https://dev.example.test）时，火狐可能因证书不受信而静默拦截 CORS 请求，控制台只显示“CORS 请求未能成功”，不提证书事。
第一步：点击地址栏左侧锁形图标 → “连接不安全” → “更多信息” → “查看证书”；
第二步：在证书窗口中点击“添加例外” → 确认地址和端口无误 → 点击“确认安全例外”；
第三步：重新发起请求，观察 Network 中该请求是否变成 200 且响应体可读。
快速启用 CORS Everywhere 插件绕过前端限制
方法一：安装插件 在地址栏输入 about:addons → 点击右上角“寻找更多附加组件” → 搜索 CORS Everywhere → 点击“添加到 Firefox”。
方法二：配置生效 安装完成后 → 点击插件右侧齿轮图标 → “选项” → 勾选 Enabled at startup → 在 Force value of "access-control-allow-origin" 输入框填入 * → 点击 Save → 【关闭所有火狐窗口，彻底退出进程后再重开】。
这一步仅用于开发调试，不可用于生产环境测试，它会覆盖所有站点的 CORS 响应头，掩盖真实配置缺陷。
