CORS 响应头分析

根据请求来源、方法和响应头，检查跨域请求为何通过或被阻止。

按输入条件模拟浏览器判断，不发送预检请求。CORS 不代替身份认证。

HTTP 响应头或 Access-Control-* 行

输入上限 64 KiB。

请求场景（可选）

留空时按 GET 请求判断。

Request Origin（可选） Method（可选） Request Headers（可选，一行一个或逗号分隔）携带 credentials（Cookie、HTTP 认证或客户端证书） Private Network Access（目标为私有网络）

CORS 响应头结构化表格 / 完整诊断报告

响应头	值	解析	说明
等待分析

CORS 使用提示

CORS 边界

CORS 控制浏览器脚本能否读取跨源响应；它不替代服务端认证、授权、CSRF 防护或敏感数据分类。

预检触发

非简单方法、非 CORS-safelisted request headers、POST application/json 和 PNA 场景通常会触发浏览器 CORS-preflight cache 相关判断。

Credentials 与通配符

带 credentials 时 Access-Control-Allow-Origin 不能是 *；Access-Control-Allow-Credentials 只有精确 true 有效。

PNA / LNA 说明

Access-Control-Allow-Private-Network: true 可作为 PNA 兼容诊断项；Chrome 当前公开路线是 Local Network Access permission prompt 替代 paused PNA preflight effort。不同浏览器、版本、企业策略和实验开关需目标环境复核。

服务端配置提醒

动态或反射 Origin 必须先过服务端 allowlist，并用 Vary: Origin 隔离共享缓存；不要反射任意 Origin。