大文件上传触发“跨域拦截”实为iframe模式下后端返回非HTML响应导致的静默失败，小文件因速度快可能走XHR分支而暴露真实CORS问题；根本原因在于Layui默认iframe:true时要求服务端返回Content-Type:text/html包裹JSON，否则浏览器拒绝渲染并显示failed。
为什么大文件上传会触发跨域拦截，而小文件不会？
不是文件大小本身触发跨域，而是大文件上传耗时长，容易暴露底层请求模式差异。Layui 默认启用 iframe: true 模式上传（尤其在非现代浏览器或未显式禁用时），该模式靠提交表单到隐藏 iframe 实现“绕过”CORS，但前提是服务端返回的响应必须是合法 HTML 或可被 iframe 加载的文本——如果后端返回纯 JSON（如 {"code":0,"data":{"src":"/x.jpg"}}）且没设 Content-Type: text/html，浏览器会拒绝渲染，进而静默失败，Network 面板显示「failed」或「canceled」，控制台却无 CORS 报错。
小文件快，可能刚好走 XHR 分支（iframe: false），这时才真正依赖 CORS 头；大文件慢，Layui 更倾向 fallback 到 iframe 模式，导致你看到的“跨域报错”其实是 iframe 加载失败的假象。
- 检查 Network 面板中上传请求的
Response标签页：如果是空或显示「Failed to load response data」，大概率是 iframe 模式 + 后端返回非 HTML 响应 - 强制走 XHR 模式：
iframe: false，再配合timeout: 120000（2分钟），这样能真实捕获 CORS 错误并进error回调 - 若必须兼容 IE8/9，服务端需对上传接口返回
Content-Type: text/html，响应体包裹成<html><body>{"code":0,...}</body></html>
Access-Control-Allow-Origin 不能写 *，但又不想硬编码域名怎么办？
当启用了 withCredentials: true（比如要传 Cookie 或 token），浏览器明确禁止 Access-Control-Allow-Origin: *。Layui upload 默认不带凭证，但如果你手动加了 headers: { Authorization: 'Bearer xxx' } 或设置了 withCredentials: true，就必须精确匹配源。
不要用 if-else 列一堆域名，容易漏、难维护。更可靠的做法是服务端读取请求头中的 Origin，白名单校验后原样回写：
- PHP 示例：
if (in_array($_SERVER['HTTP_ORIGIN'], $allowedOrigins, true)) { header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']); } - Node.js + Express：
app.use(cors({ origin: allowedOrigins, credentials: true }));（用cors中间件比手写 header 更稳） - Spring Boot：
@CrossOrigin(origins = {"https://a.com", "https://b.com"}, allowCredentials = "true")注解，或全局配置WebMvcConfigurer
大文件上传失败时 Network 显示 blocked:mixed-content，和跨域有关系吗？
有，但本质不是跨域问题，是协议降级。90% 的「跨域提示」实际是浏览器拦截混合内容：页面是 https://，但上传 URL 写成了 http:// 或相对路径 /upload（服务端重定向到 HTTP 时出问题）。
这种拦截不走 CORS 流程，也不进 JS error 回调，Network 面板直接标为 blocked:mixed-content，状态码为 0，done 和 error 都不触发。
- 立刻检查
upload.render的url参数：必须是完整 HTTPS 地址，如url: "https://api.example.com/upload"，不能是"http://..."或"/upload" - 若用 Nginx 反向代理，确认配置含
proxy_set_header X-Forwarded-Proto $scheme;，否则后端生成跳转链接可能返回 HTTP - 本地开发时，mock 地址常带
http://localhost，上线前务必替换，或统一用window.location.origin拼接
done 不执行、error 也不进，只看到“接口未响应”，怎么快速定位？
这是最典型的静默失败，原因往往藏在服务端响应格式或中间件里。Layui upload 要求后端返回标准 JSON，且必须含 code 字段（值为 0 表示成功），否则直接跳过所有回调。
别只看控制台，打开 Network → 点击上传请求 → 查看 Response 和 Headers：
- 响应头是否为
Content-Type: application/json？不是就加，PHP 用header('Content-Type: application/json; charset=utf-8'); - 响应体是否为纯 JSON？不能含 BOM、HTML 注释、额外空格或 echo 的调试信息
- 是否被 Nginx / CDN 缓存了旧响应？加个时间戳参数临时绕过：
url: "/upload?t=" + Date.now() - 是否被安全中间件（如 WAF、云防火墙）拦截？查看服务器 access log，确认请求是否到达后端进程
大文件上传的链路更长，任何一个环节（协议、CORS、响应格式、超时、中间件）卡住，都会表现为“未响应”。优先盯死 Network 面板里的原始响应，而不是依赖前端提示文字。
