微前端跨域问题源于同源策略，主要表现为子应用静态资源加载、Web Worker 初始化及接口调用失败；需通过服务端配置CORS响应头、内联Worker脚本、代理API请求及postMessage安全通信解决。
在微前端架构中，跨域资源加载问题主要出现在子应用加载静态资源（如 JS、CSS、PDF worker 文件）或调用主应用/其他子应用接口时。根本原因仍是浏览器同源策略——协议、域名、端口任一不同即触发限制。但微前端的特殊性在于：主应用与子应用通常部署在不同端口（如 localhost:8080 和 localhost:8081），甚至不同域名，导致资源引用、Web Worker 初始化、fetch 请求等环节频繁报错。
子应用静态资源跨域（如 JS/CSS 加载失败）
主应用通过 script 标签或 fetch 动态加载子应用资源时，若子应用服务未正确配置响应头，浏览器会拒绝执行脚本或解析样式。
- 服务端需为子应用资源响应添加
Access-Control-Allow-Origin头，值为主应用地址（如http://localhost:8080）或通配符*（仅限无凭证请求） - 若子应用使用 Nginx 部署，可在 location 块中加入：
add_header 'Access-Control-Allow-Origin' 'http://localhost:8080';<br>add_header 'Access-Control-Allow-Credentials' 'true';<br>add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';<br>add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization';
- 注意：带 cookie 或认证头的请求必须显式指定 origin，不能用
*，且需开启credentials
Web Worker 跨域（如 vue-pdf 报错 Failed to construct 'Worker'）
vue-pdf、pdfjs-dist 等库依赖 Web Worker 加载 PDF 解析逻辑，而 worker 脚本路径若指向子应用本地地址（如 http://localhost:8081/js/pdf.worker.js），主应用上下文会因端口不同判定为跨域，禁止加载。
Java Maven Common
下载
Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。
- 推荐做法是将 worker 文件内联打包：修改构建配置，让 worker-loader 使用
inline: true，使 worker 代码直接嵌入主 bundle，避免独立 HTTP 请求 - Vue CLI 项目在
vue.config.js中配置：config.module.rule('worker').test(/\.worker\.js$/).use('worker-loader').loader('worker-loader').options({ inline: true, fallback: false }) - 对 vue-pdf，还需替换其内部
PdfjsWorker引用方式，改用import静态引入，确保编译期注入而非运行时 fetch
主子应用间通信与接口调用跨域
子应用内发起的 API 请求若指向主应用或其他域，仍受 CORS 限制；但微前端通信本身（如 qiankun 的 initGlobalState）不走网络，无需跨域处理。
立即学习“Java免费学习笔记（深入）”；
- 开发阶段优先用代理：在子应用的
vite.config.ts或vue.config.js中配置 proxy，把/api代理到主应用后端地址，避免真实跨域 - 生产环境应统一由网关或 Nginx 反向代理聚合接口，前端所有请求都打向同一域名，彻底规避浏览器跨域判断
- 子应用如需调用主应用暴露的全局方法或数据，应通过微前端框架提供的通信机制（如 qiankun 的
props或onGlobalStateChange），而非跨 window 直接访问
iframe 场景下的跨域资源隔离与通信
部分微前端方案或子应用自身使用 iframe 加载第三方内容，此时面临双重跨域：iframe 加载本身不受限，但父子页面 JS 交互受限。
- 若需安全通信，必须使用
window.postMessage，并严格校验event.origin，避免 XSS 风险 - 主应用向 iframe 子页传参，应在
iframe.src中拼接 query 参数，或通过postMessage发送初始化消息 - 禁止直接操作跨域 iframe 的
contentWindow.document，也不可读取其 DOM 或 JS 变量
