AionClaw中HTTP技能调用不触发浏览器CORS，仅当导出前端页面并用浏览器直接打开时才需处理跨域；可通过重启带CORS参数的aionclaw-gateway、Nginx反代加头或FastAPI/Flask启用CORS中间件解决。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当你在AionClaw中调用自己部署的后端API时，浏览器控制台报出“Access to XMLHttpRequest at 'http://localhost:8000/api/login' from origin 'http://localhost:3000' has been blocked by CORS policy”，说明请求被同源策略拦截，必须在服务端或代理层显式放行跨域头。
确认是否真需处理跨域
先判断问题是否真实存在：打开AionClaw客户端 → 点击左下角「设置」→ 进入「技能市场」→ 搜索并安装「HTTP请求」技能 → 新建一个自动化流程，添加该技能节点，目标URL填你自己的后端地址（如http://localhost:8000/api/test）→ 保存后点击「立即运行」。若执行日志中出现 【CORS error】 或 Network 面板显示 OPTIONS 请求状态为 0 或 failed，则确属跨域问题；若返回 404、500 或正常 JSON，则是后端自身异常，无需配 CORS。
注意：AionClaw本身不发起浏览器内AJAX请求，所有HTTP技能调用均由其本地网关进程（aionclaw-gateway）发出，因此绝大多数情况下根本不会触发浏览器CORS限制。只有当你把AionClaw前端页面（如导出的静态HTML）单独用浏览器打开，并在里面写JS调用外部API时，才需要处理跨域。
若确为前端页面跨域：启用内置代理网关透传
这是最轻量、无需改代码的解法，适用于你已导出AionClaw生成的前端页面（含index.html），又想让它直连本地后端服务的场景。
第一步：停止当前运行的网关服务 → 执行 pkill -f "aionclaw-gateway"（macOS/Linux）或 Stop-Process -Name "aionclaw-gateway" -Force（PowerShell）
第二步：以带CORS响应头注入的方式重启网关 → 执行 aionclaw-gateway --cors-allowed-origins="http://localhost:3000,http://127.0.0.1:3000" --cors-allow-credentials=true --no-daemon
第三步：将你的前端页面通过该网关访问 → 不再直接双击打开index.html，而是用浏览器访问 http://localhost:5173/your-exported-page/index.html（默认网关端口为5173）。此时所有对 /api/* 的请求，都会经由网关转发，并自动携带 Access-Control-Allow-Origin: http://localhost:3000 等头。
若后端独立部署：在Nginx反向代理层统一加头
适用于生产环境，AionClaw前端由Nginx反代至 https://ai.company.com，而后端API跑在 http://10.0.1.5:8000，两者域名不同且无法合并部署。
方法一：直接在Nginx location块中硬编码响应头
编辑 /etc/nginx/sites-available/ai.company.com → 在 location /api/ { ... } 区块内插入：
add_header 'Access-Control-Allow-Origin' 'https://ai.company.com';
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE';
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
add_header 'Access-Control-Allow-Credentials' 'true';
方法二：支持预检请求的完整配置（必须加）
在同一个 location /api/ 块内追加：
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' 'https://ai.company.com';
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE';
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=utf-8';
add_header 'Content-Length' 0;
return 204;
}
【务必重启Nginx：nginx -s reload】——否则配置不生效，且OPTIONS请求会直接 404。
若后端为FastAPI/Flask：在代码中启用CORS中间件
这是开发阶段最直观的方案，适合你正在调试自己的Python后端服务。
第一步：安装 fastapi-cors（FastAPI）或 flask-cors（Flask） → 执行 pip install fastapi-cors 或 pip install flask-cors
第二步：在主应用文件顶部引入并挂载中间件
FastAPI示例（main.py）：
from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware
app = FastAPI()
app.add_middleware(
CORSMiddleware,
allow_origins=["http://localhost:3000", "https://ai.company.com"],
allow_credentials=True,
allow_methods=["*"],
allow_headers=["*"],
)
Flask示例（app.py）：
from flask import Flask
from flask_cors import CORS
app = Flask(__name__)
CORS(app, origins=["http://localhost:3000"], supports_credentials=True)
第三步：启动后端服务 → 执行 uvicorn main:app --reload 或 python app.py
验证方式：curl -I http://localhost:8000/api/test → 查看响应头中是否含 access-control-allow-origin 字段。
