Flask接口返回405或空白响应且报CORS错误，主因是预检（OPTIONS）失败：未定义OPTIONS路由、flask-cors未覆盖蓝图或装饰器顺序错误、credentials与通配符冲突、Nginx等代理未透传CORS头或覆盖响应头。
Flask接口返回405或空白响应，但前端明确报CORS错误
跨域失败时，浏览器控制台通常显示 CORS header 'Access-Control-Allow-Origin' missing 或 Response to preflight request doesn't pass access control check。这说明Flask没正确响应预检（OPTIONS）请求，或响应头缺失/冲突。
常见诱因是：手动设置了 Access-Control-Allow-Origin 但没同步处理 OPTIONS、没允许凭证、或用了通配符却带 credentials: true。
- 检查是否在视图函数里硬编码了响应头——这种方式无法覆盖 Flask 自动返回的 405 响应（比如对 OPTIONS 方法未定义路由时）
- 确认前端发起的是带
Content-Type: application/json或含自定义 header 的请求——这类请求会触发预检，必须有对应 OPTIONS 路由或全局拦截 - 若使用了
response.headers['Access-Control-Allow-Credentials'] = 'true'，则Access-Control-Allow-Origin不能为*，必须指定确切域名
用 flask-cors 扩展但依然 403 或 OPTIONS 404
flask-cors 默认只对注册的路由生效，且对蓝图（Blueprint）需显式初始化。如果接口定义在蓝图中但没调用 CORS(blueprint)，该蓝图下所有端点都不会被注入 CORS 头。
另一个高频问题是：在开发中启用了多个装饰器（如 @login_required），而 @cross_origin 放在了它们下面——导致未登录时先抛异常，CORS 头根本没机会写入响应。
立即学习“Python免费学习笔记（深入）”；
- 对蓝图启用 CORS：先创建蓝图对象
api = Blueprint('api', __name__)，再执行CORS(api, supports_credentials=True) - 确保
@cross_origin是最外层装饰器（即写在其他装饰器之上） - 检查是否误将
resources参数写成字典但路径没加前导斜杠，例如{r'/user/*': {'origins': '*'}}}有效，而{'user/*': ...}无效
本地调试时 Chrome 报错但 curl 正常
curl 不校验 CORS，它只管 HTTP 状态码和 body；而 Chrome 会在发送实际请求前发一个 OPTIONS 预检，并严格比对响应头。所以 curl 成功 ≠ 接口已支持跨域。
更隐蔽的问题是：某些代理（如 webpack-dev-server 的 proxy）会吞掉原始响应头，或在转发时覆盖了 Access-Control-Allow-Origin。此时即使 Flask 日志显示头已写出，浏览器也收不到。
- 用浏览器开发者工具的 Network 标签页，点开请求 → Headers → Response Headers，逐项核对是否存在
Access-Control-Allow-Origin、Access-Control-Allow-Methods等字段 - 在终端运行
curl -I http://localhost:5000/api/data，对比响应头与浏览器看到的是否一致；不一致就说明中间有代理或 Nginx 干预 - 若用 Nginx 反向代理 Flask，必须在 Nginx 配置里显式添加
add_header Access-Control-Allow-Origin "*";等指令，Flask 的响应头会被 Nginx 覆盖
生产环境部署后跨域突然失效
生产环境往往加了反向代理（Nginx / Apache）、HTTPS 强制跳转、或 WSGI 中间件（如 Gunicorn 的 --forwarded-allow-ips）。这些组件可能过滤掉 Origin 头，或把 HTTPS 请求识别为 HTTP，导致 request.headers.get('Origin') 为空，进而让 flask-cors 拒绝写入响应头。
尤其注意：Gunicorn 默认不信任 X-Forwarded-* 头，若 Nginx 设置了 proxy_set_header X-Forwarded-Proto $scheme;，但 Gunicorn 没配 --forwarded-allow-ips="*"，Flask 就拿不到真实的协议和 host，flask-cors 的 origin 白名单匹配会失败。
- 在 Nginx 配置中确保透传关键头：
proxy_set_header Origin $http_origin;和proxy_pass_request_headers on; - Gunicorn 启动加参数：
--forwarded-allow-ips="*"（仅内网可信时）或指定 Nginx IP - 避免在生产环境用
origins="*"+supports_credentials=True，这是被浏览器直接拒绝的组合
真正卡住排查的，往往是预检请求被某个中间件静默拦截，或者多层代理之间头传递断裂。建议从浏览器 Network 面板里确认 OPTIONS 请求是否到达 Flask，再看响应状态码和头字段——别只盯着最终那个失败的 GET/POST 请求。
