Chrome扩展场景下，如何正确处理Origin为Null的CORS请求？

• 优先采用扩展内置通信中转：利用Chrome扩展的后台脚本作为请求中转层，内容脚本通过chrome.runtime.sendMessage或chrome.runtime.connect将请求参数发送给后台，由后台脚本直接调用API。后台脚本不受前端CORS规则限制，完全规避Origin为Null的问题，同时还能统一处理认证、请求签名等安全逻辑，比直接开放CORS更可靠。

• 严格限定Null Origin的访问范围：如果必须直接允许Null Origin的请求，绝不对整个API服务开放，只针对特定的、非敏感的接口路径放行；同时限制允许的HTTP方法（仅开放业务必需的GET、POST等，禁用PUT、DELETE等高风险方法）；额外校验请求中的扩展专属标识（比如在请求头携带X-Extension-ID，后台验证该ID是否属于你官方发布的扩展），进一步缩小信任范围。

• 临时开放+全链路审计：仅在开发调试阶段临时允许Null Origin的CORS权限，正式上线前务必替换为中转或其他安全方案；对所有Null Origin的请求做完整日志记录（包括请求IP、接口路径、请求参数、时间戳），定期排查异常请求，防止恶意利用。

• 避免不安全的配置组合：不要将Access-Control-Allow-Origin: *与Null Origin场景混用，因为浏览器在Origin为Null时不允许携带Cookie或认证头，若API需要认证这种配置完全无效；同时绝不开放Access-Control-Allow-Credentials: true给Null Origin，这会引入严重的身份冒充风险。

内容的提问来源于stack exchange，提问作者jgammon