CORS

你可能会说

网页请求接口被浏览器拦住了，帮我检查是不是 CORS 配置没有允许这个站点。

CORS 是浏览器要求服务器明确同意后，网页才能跨源读取响应的安全机制。例如网页从 app.example.com 请求 api.example.com，服务器要在响应中允许这个网页来源，浏览器才把数据交给脚本。它保护的是浏览器里的跨源读取；接口能否被调用、用户是否有权限，仍要由服务器验证。

先知道

HTTP API

也常被叫作跨源资源共享跨域资源共享Cross-Origin Resource Sharing

网页跨域请求为什么要先获得服务器允许

http://localhost:3000

Originlocalhost:3000

GETlocalhost:8080/api

200 · API 已收到

响应头Content-Type: application/jsonWaiting for response headers…

CORS 在请求链路中的位置

“源”由地址组成：协议、域名或端口有一个不同，就可能是不同源。本地网页从 localhost:3000 调接口 localhost:4000 也是常见跨源场景。

服务器声明允许范围：浏览器读取响应前检查服务器的 CORS 响应头；服务端应只允许实际需要的站点、方法和凭据，而不是为了消除报错对所有来源开放。

你可以这样告诉 AI Agent

请排查本地页面 `http://localhost:3000` 请求接口 `http://localhost:4000` 的 CORS 报错。只允许当前开发页面需要的来源、方法和凭据，不要把所有来源都开放；改完后在浏览器实际发起一次请求验证。

接下来学什么

1浏览器存储Browser Storage→

本地网页 `localhost:3000` 调用 API `localhost:4000` 时，控制台报 CORS。哪项排查最准确？

A. 让 API 允许 `http://localhost:3000`，并核对当前请求的方法和凭据规则B. 把网页请求改成 `no-cors`，继续按原方式读取 API 返回的数据C. 让 API 允许 `http://localhost:4000`，因为请求最终发到了这个地址