标签: CORS

Vite开发服务器中，`server.middlewares.use`将中间件置于末尾，易被内置中间件（如静态资源、SPA fallback）优先拦截，导致API请求（如`/api/auto-icon`）或OPTIONS预检失败。**方案**：使用`server.middlewares.stack.unshift({route:'',handle})`抢占首位，确保CORS头响应及路径精确匹配，特别适用于Vite 7+ SSR场景。（148字符）

Nginx默认追加同名响应头导致浏览器报错，如多个`Access-Control-Allow-Origin`。解决方案包括：1) 使用`always`强制覆盖；2) 使用`proxy_hide_header`清除后端同名header再添加；3) 使用`more_clear_headers` (需安装模块) 清除和设置。推荐方案是清除后端header并使用`always`添加。

在 Nginx 中，`add_header` 指令的 `always` 参数确保指定的 Header 添加到所有 HTTP 响应，无论状态码是否成功。这对于调试、CORS 配置、缓存控制和强制某些 Header 存在很有用。`always` 自 1.7.5 版本引入。

CORS 是一种 W3C 标准，用于解决同源策略带来的跨域资源访问限制。它通过简单/预检请求和响应头（如 Access-Control-Allow-Origin）实现。需注意凭证配置和 Safari 浏览器的特殊性。除 CORS 外，还有 JSONP、Proxy 等跨域方案。安全实践包括精确配置白名单、优化预检请求缓存、防御 CSRF 等。

当多个站点共享静态资源URL时，未设置`Vary: Origin`可能导致缓存污染，引发CORS错误。推荐方案为设置`Vary: Origin`并动态验证Origin，需监控缓存命中率。其他方案如通配符ACAO或URL版本化各有局限。关注Client Hints等未来标准可优化缓存。

本周报涵盖 Chrome 扩展开发、跨域解决方案、微前端样式隔离、Markdown 处理、Nginx 性能调优、GraphQL 类型安全及防御性编程。重点包括 Manifest V3、CORS 机制、Shadow DOM 局限、AST 操作、Gzip 压缩和定时器优化等工程实践。

背景：CDN 上的字体文件在不同域名站点引用时出现跨域问题。 问题：浏览器对相同 URL 的跨域资源，未按 Origin 区分缓存，导致缓存错乱。 方案：虽然`Vary: Origin`是正解，但最终采用设置 `Access-Control-Allow-Origin: *` 解决跨域问题。

本文介绍了跨域资源共享（CORS）的原理和解决方案。重点区分简单请求和复杂请求，详细解释了预检请求及相关头部信息。同时提到了JSONP、代理服务器等其他跨域方法，以及超链接download属性的使用限制。