如何修复 CORS 错误（安全的做法）

分步操作

1. 1

   理解 CORS 保护的是什么

   CORS 控制在浏览器中哪些 Web 来源可以读取你 API 的响应。通配符（'*'）或回显任意 Origin 都会关闭这层保护。

2. 2

   把特定来源加入允许列表

   把 Access-Control-Allow-Origin 设为你确切的前端来源——例如 https://app.example.com——而不是 '*'。在服务端维护一份受信任来源的列表。

3. 3

   谨慎处理凭据

   如果你发送 Cookie，就不能使用 '*'——你必须回显一个特定的被允许来源，并且仅对受信任来源设置 Access-Control-Allow-Credentials: true。

4. 4

   用我们的 CORS 检测器验证

   重新检测你的端点，确认它不再允许任意来源，并且带凭据的请求仅限于你信任的来源。