Electron中不能完全禁用跨域限制，但可通过四种安全方式处理：1. 开发时设webSecurity: false；2. 生产推荐主进程代理请求；3. 本地HTML用loadFile或命令行参数；4. 避免使用mode: 'no-cors'。
在 Electron 客户端中，**不能也不应该“完全禁用跨域限制”**，因为跨域限制（CORS）是浏览器层面的安全机制，而 Electron 基于 Chromium，其渲染进程默认遵循同源策略。但你可以通过合法、可控的方式绕过开发阶段的 CORS 限制，或在应用内安全地发起跨域请求。
1. 启动主进程时配置 webPreferences 禁用安全限制（仅限开发/可信环境）
这是最常见做法，适用于本地调试或内网可信场景。在创建 BrowserWindow 时设置：
- nodeIntegration: true（如需使用 Node.js 模块）
- contextIsolation: false（配合 nodeIntegration 使用，注意安全风险）
- webSecurity: false —— ✅ 关键项，禁用渲染进程的同源策略和 CORS 检查
- allowRunningInsecureContent: true（可选，允许加载 HTTP 资源）
示例代码（主进程）：
const { BrowserWindow } = require('electron')
const win = new BrowserWindow({
webPreferences: {
webSecurity: false,
nodeIntegration: true,
contextIsolation: false
}
})
⚠️ 注意：webSecurity: false 仅应在受控环境（如企业内网、离线桌面应用）中启用，绝不可用于加载不可信远程网页（如用户输入的 URL），否则将导致严重 XSS 和数据泄露风险。
2. 使用主进程代理请求（推荐生产环境）
让渲染进程通过 IPC 发起请求，由主进程（具备完整 Node.js 网络能力）代为调用 node-fetch 或 axios，再将结果返回。这样既规避了 CORS，又保持了安全隔离。
将后端 Java 接口文档转换为前端 TypeScript 类型定义（interface / type）。输入：飞书文档、Spring Boot 接口文档、Swagger/OpenAPI、手写 API 文档等。输出：包含请求参数与响应结果的 .md 文件，含完整 JSDoc 注释。触发关键词：Java 转 TS、接口转换、生成前端类型、接口文档转 TypeScript、DTO/VO/BO 转 interface、后端文档转前端类型、生成接口类型、类型定义生成。
立即学习“Java免费学习笔记（深入）”；
- 渲染进程发送：
ipcRenderer.invoke('api-request', { url, method, body }) - 主进程监听并执行真实 HTTP 请求（无跨域限制）
- 主进程返回响应数据，不暴露原始响应头或凭证细节
优点：不降低渲染进程安全等级，符合 Electron 最佳实践。
3. 加载本地 HTML 时启用 file:// 协议的宽松策略
若页面是本地文件（file://），Chromium 默认对 file 协议有额外限制（如禁止 AJAX）。可通过以下方式缓解：
- 启动 Electron 时加命令行参数：
--unsafely-treat-insecure-origin-as-secure="file:///" --user-data-dir=/tmp/ephemeral --allow-file-access-from-files - 更稳妥的做法：用 app.getAppPath() + path.join() 构建绝对路径，再用 win.loadFile() 加载 HTML，避免直接依赖 file:// URL
4. 避免误操作：不要在渲染进程里设 mode: 'no-cors'
fetch(url, { mode: 'no-cors' }) 不会禁用 CORS，只会让请求变成“opaque”类型——你无法读取响应内容、状态码或 headers，仅能判断是否发送成功。这对绝大多数业务无意义，且容易造成调试困惑。
