跨域请求中前端无法读取响应头需服务端设置Access-Control-Expose-Headers声明暴露字段，如Content-Disposition、Location等；未暴露则response.headers.get()返回null；Location受重定向影响，Set-Cookie不可读取，替代方案为放入响应体或URL参数。
跨域请求中无法读取响应头，是因为浏览器默认只暴露少数简单响应头（如 Cache-Control、Content-Language、Content-Type 等），其他自定义或关键头（如 Content-Disposition、Location、X-Total-Count）必须由服务端显式声明才能被 JavaScript 访问。
服务端必须设置 Access-Control-Expose-Headers
这是解决响应头读取限制的唯一可靠方式。前端无法绕过，只能依赖后端配合：
- 在响应中添加
Access-Control-Expose-Headers头，列出你希望前端读取的字段，多个用逗号分隔，例如：Access-Control-Expose-Headers: Content-Disposition, Location, X-Request-ID - 该头需与标准 CORS 头共存，例如：
Access-Control-Allow-Origin: https://your-app.comAccess-Control-Allow-Credentials: true（若需带 Cookie） - 注意：
Access-Control-Allow-Origin不能为*时又设置Access-Control-Allow-Credentials: true，否则浏览器会拒绝整个响应
前端读取暴露后的响应头
fetch 成功后，可用 response.headers.get() 获取已暴露的头：
Java 接口排错助手
下载
在调试 Java 后端 API 故障时使用此技能，尤其适用于以下任务：分析日志、跨 Controller、Service 和 Mapper 层追踪请求、定位异常根因、检查 SQL 执行或参数流转，以及生成简洁的诊断结论与修复方案。
- 例如提取文件名：
const cd = response.headers.get('Content-Disposition'); - 用正则安全匹配 filename 字段（注意兼容
filename*=UTF-8 编码格式）：const match = cd?.match(/filename\*?=([^;]+)/i); - 对
filename*值做解码处理，如：decodeURIComponent(escape(atob(match[1].split("''")[1])))，或使用成熟库如content-disposition - 未暴露的头（如直接调
response.headers.get('X-Auth-Token')）会返回null，不报错但拿不到值
常见被误读的响应头及替代方案
有些头即使暴露了，也受跨域重定向影响，需额外注意：
立即学习“Java免费学习笔记（深入）”；
-
Location：跨域重定向后，浏览器可能屏蔽该头，除非目标服务也返回Access-Control-Expose-Headers: Location -
Set-Cookie：无法通过响应头读取，且跨域下需credentials: 'include'+ 后端配Access-Control-Allow-Credentials: true才能写入 - 若无法改服务端，可协商将关键信息放入响应体（如 JSON 封装
{ data: ..., filename: "xxx.pdf" }）或 URL 参数（如?filename=xxx.pdf）
验证是否生效的小技巧
在浏览器开发者工具 Network 面板中，点击请求 → Headers 标签 → 查看 Response Headers 区域：
- 确认存在
Access-Control-Expose-Headers，且内容包含你需要的字段 - 确认
Access-Control-Allow-Origin值与当前页面源匹配（不是*时尤其注意协议、域名、端口） - 如果用了
credentials: 'include'，检查是否同时有Access-Control-Allow-Credentials: true
