火狐CORS报错需三路并进：先确认file://协议是否触发协议级封锁（改about:config中security.fileuri.strict_origin_policy为false或启用本地服务器），再用Network面板定位OPTIONS预检失败原因（检查Access-Control-Allow-Origin/Methods/Headers三项响应头是否合规），最后可临时启用CORS Everywhere插件强制绕过限制。
你在火狐浏览器里调试前端应用，页面一发请求就卡在“CORS 头缺少 Access-Control-Allow-Origin”，控制台只显示状态码 200 但响应体为空，Network 面板里连响应头都看不到——这不是后端没配好，而是火狐在你没察觉时已经拦截了整个请求链路，必须从协议层、预检机制、插件干预三路并进才能定位真实断点。
确认请求是否被协议级封锁
双击打开本地 HTML 文件，地址栏显示 file:/// 开头 → 页面 JS 尝试 fetch 同目录下的 JSON → 火狐直接拒绝发起网络请求，连 Network 面板都无记录。
这和 CORS 配置无关，是火狐对 file:// 协议的硬性限制。解决方法只有两个：要么用本地服务器启动页面，要么临时关闭该策略。
在地址栏输入 about:config → 点击“我了解此风险” → 搜索 security.fileuri.strict_origin_policy → 双击将其值由 true 改为 false → 关闭标签页并彻底退出火狐进程（任务管理器中结束 firefox.exe）再重启。
注意：此设置在 Firefox 120+ 版本中已失效，若修改后仍无法加载本地资源，跳过此步直接启用 CORS Everywhere 插件。
用开发者工具定位预检失败根源
打开火狐开发者工具（Ctrl+Shift+I）→ 切换到 Network 标签页 → 刷新页面 → 找到状态为“已取消”或 Method 显示为 OPTIONS 的请求行 → 点击进入详情。
第一步：看 Initiator 列 —— 若显示为 fetch 或 xhr，说明是代码主动触发；若为 parser，大概率是 HTML 中 script/src 或 link/href 引起的跨域资源加载。
第二步：切换到 Headers 标签 → 滚动至 Response Headers 区域 → 重点检查三项：
① Access-Control-Allow-Origin 必须存在且值精确匹配当前页面源（如 http://localhost:5173），不能填 *（当请求含 credentials 时）；
② Access-Control-Allow-Methods 必须包含你实际使用的 HTTP 方法（如 POST、PUT），大小写敏感；
③ Access-Control-Allow-Headers 必须列出所有自定义请求头（如 Authorization、x-request-id），漏一个，预检即失败，后续请求根本不会发出。
如果这三项中任意一项缺失或值不匹配，问题一定出在后端或 Nginx 等反向代理的配置上，和火狐无关。
启用 CORS Everywhere 插件强制绕过限制
方法一：安装插件
在地址栏输入 about:addons → 点击右上角“齿轮”图标 → 选择“在附加组件网站中查找” → 搜索 “CORS Everywhere” → 找到官方版本（作者 spenibus，ID: @cors-everywhere）→ 点击“添加到 Firefox”。
方法二：配置生效
安装完成后，点击地址栏右侧出现的绿色盾牌图标 → 选择“选项” → 勾选 “Enabled at startup” → 在 “Force value of access-control-allow-origin” 输入框中填入 * → 点击 Save。
此时插件图标变为绿色，表示已激活。刷新页面，原本被拦截的请求将携带伪造的响应头通过预检，你可以看到完整响应体与原始响应头对比，快速验证后端配置是否真有问题。
注意：插件仅在开发环境使用，切勿在日常浏览中保持开启状态，否则会削弱安全防护。
