谷歌浏览器跨域请求失败是因同源策略与Chrome 94+新增的PNA双重拦截：前者阻止协议、域名、端口任一不同的请求，后者禁止HTTP页面访问localhost等私有地址，需同时配置CORS响应头、禁用web安全或关闭PNA策略才能解决。
谷歌浏览器跨域请求失败，是因为浏览器强制执行同源策略（Same-Origin Policy）——当你的前端页面运行在 http://localhost:3000，却试图用 JavaScript 向 http://api.example.com 发起 fetch 或 XMLHttpRequest 请求时，只要协议、域名、端口三者中任一不同，浏览器就会在响应到达脚本前直接拦截，控制台抛出 “Access to XMLHttpRequest has been blocked by CORS policy” 报错，而 Network 面板里该请求仍显示 200 状态码，说明服务端已正常响应，只是数据被浏览器截断了。
根本原因：同源策略与PNA双重拦截
同源策略是浏览器安全基石，防止恶意网站窃取用户在其他站点的敏感数据（如 Cookie、LocalStorage）。但自 Chrome 94 起，新增 Private Network Access（PNA）规范，进一步限制“不安全上下文”（即 HTTP 页面）访问“更私有地址空间”（如 127.0.0.1、localhost、内网 IP）的资源。此时即使后端已返回 Access-Control-Allow-Origin: *，Chrome 仍会在预检阶段拒绝请求，并报错 “The request client is not a secure context and the resource is in more-private address space”。
这导致两类典型失败场景：一是本地 HTML 文件双击打开（file:// 协议），二是开发服务器用 HTTP 协议（http://localhost:3000）调用 http://localhost:8080 的 API。
验证是否真为跨域拦截
第一步：打开 Chrome DevTools → Console 面板，确认错误信息是否含 “CORS policy” 字样。
第二步：切换到 Network 面板，找到对应请求，检查 Status 列是否为 (blocked:cors) —— 这是浏览器层面拦截的明确标识，而非网络或后端问题。
第三步：点击该请求 → Headers 标签页 → 查看 Response Headers 中是否存在 Access-Control-Allow-Origin。若不存在，说明后端未配置 CORS 响应头；若存在但依然报错，则大概率是 PNA 或命令行参数未生效所致。
快速排除法：先试插件再试命令行
方法一：安装 CORS Unblocked 扩展
打开 chrome://extensions/ → 开启“开发者模式” → 访问 Chrome 应用商店搜索并安装 CORS Unblocked → 点击右上角拼图图标 → 找到该插件 → 点击开关启用 → 在弹出面板中将模式设为 Enable CORS → 刷新页面。
方法二：命令行启动独立调试会话
① 彻底关闭所有 Chrome 进程（Windows：任务管理器 → 结束全部 chrome.exe；macOS：活动监视器 → 强制退出所有 Google Chrome 实例）；
② 执行命令：
Windows：chrome.exe --user-data-dir="C:\ChromeDevSession" --disable-web-security
macOS：open -n -a "Google Chrome" --args --user-data-dir="/tmp/chrome_dev_test" --disable-web-security；
③ 新窗口地址栏下方出现黄色提示条“您使用的是不受支持的命令行标记”，即表示成功。
【必须使用全新的 --user-data-dir 路径，重复使用旧路径会导致 --disable-web-security 完全失效】
新版 Chrome（≥108）特有拦截：PNA 设置必须关闭
若上述方法无效，且你使用的是 Chrome 108 或更高版本（当前最新稳定版为 116+），请立即执行以下操作：
第一步：在地址栏输入 chrome://flags/#block-insecure-private-network-requests 并回车；
第二步：找到 “Block insecure private network requests” 选项；
第三步：点击右侧下拉菜单，选择 Disabled；
第四步：点击右下角 “Relaunch” 重启浏览器。
这一步不可跳过。Chrome 101 后全面启用 PNA，仅禁用同源策略无法绕过该层拦截。未关闭此项，即使后端加了 CORS 头、插件已启用、命令行参数正确，请求仍会被静默阻止。
