CORS配置关键在服务端返回正确的HTTP响应头，前端无需额外配置；必须设置Access-Control-Allow-Origin、Methods、Headers、Credentials（带凭证时Origin不能为*）及Max-Age，并确保各微服务独立配置以支持预检请求。
CORS 配置的关键在服务端返回正确的 HTTP 响应头，前端 JavaScript 代码本身不需要额外配置。只要后端接口响应中包含合法的 Access-Control-Allow-* 头，fetch 或 XMLHttpRequest 就能像调用同源接口一样正常工作。
必须设置的核心响应头
浏览器在收到跨域响应时，会检查以下头部是否合规。缺一不可，尤其注意带凭证（如 Cookie、Authorization）时的限制：
-
Access-Control-Allow-Origin：指定允许访问的源。生产环境推荐写明确域名，例如
https://app.company.com；若设为*，则不能同时启用凭证 -
Access-Control-Allow-Methods：列出实际支持的请求方法，如
GET, POST, PUT, DELETE, OPTIONS；预检请求必须包含OPTIONS -
Access-Control-Allow-Headers：声明客户端可发送的请求头，如
Content-Type, Authorization, X-Request-ID；若前端发了未声明的头，请求会被拦截 -
Access-Control-Allow-Credentials：设为
true表示允许携带 Cookie 或 HTTP 认证信息；此时Access-Control-Allow-Origin不能是* -
Access-Control-Max-Age：缓存预检结果的时间（秒），建议设为
86400（24 小时），减少重复 OPTIONS 请求
不同后端技术的典型配置方式
微服务架构下，每个提供 API 的服务（用户服务、订单服务等）都需独立配置 CORS，不能只靠网关统一处理——因为预检请求可能直连具体服务实例。
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
-
Spring Boot（Java）：可在 Controller 方法上加注解
@CrossOrigin(origins = "https://app.company.com", allowCredentials = "true")；或通过WebMvcConfigurer.addCorsMappings()全局配置 -
Express（Node.js）：使用
cors中间件，推荐按路径精细化配置，例如：app.use('/api/users', cors({ origin: 'https://app.company.com', credentials: true }))
避免全局app.use(cors())，防止暴露内部服务路径 -
Nginx（网关层补充）：可在
location /api/块中添加响应头：add_header 'Access-Control-Allow-Origin' 'https://app.company.com';add_header 'Access-Control-Allow-Credentials' 'true';add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS';
注意：这不能替代服务端配置，仅作补充
对 OPTIONS 预检请求的特殊处理
当请求是非简单请求（如含自定义 header、使用 PUT/DELETE、或带 credentials）时，浏览器会先发一个 OPTIONS 请求。服务端应直接响应，不走业务逻辑：
立即学习“Java免费学习笔记（深入）”；
- 返回状态码
204 No Content或200 OK - 确保响应中包含上述所有必需的 CORS 头
- 不执行数据库查询、鉴权等耗时操作，提升性能
开发阶段的临时方案
仅限本地调试，不可用于生产：
-
Vite / Vue CLI 代理：在
vite.config.js中配置：server.proxy: { '/api': { target: 'http://localhost:8080', changeOrigin: true } }
前端请求/api/users，开发服务器自动转发，绕过浏览器跨域检查 -
避免禁用浏览器安全策略：如启动 Chrome 加
--disable-web-security，这类方式只影响本机，无法解决真实用户访问问题，且存在风险
