CORS报错：Access-Control-Allow-Origin与请求源不匹配问题咨询

问题根源 #

你的请求从https://www.first.com发起，目标地址https://second.com/xyzwy被重定向到https://www.first.com/test/test。此时浏览器会校验重定向后响应的Access-Control-Allow-Origin头，而你当前first.com的全局配置是允许https://second.com，与实际请求源https://www.first.com不匹配，触发CORS错误。

有效解决方案 #

方案1：针对重定向路径单独配置

修改first.com的.htaccess，为/test/test路径单独设置允许源：

<IfModule mod_headers.c>
    # 保留原有对second.com的全局允许（若业务需要）
    Header set Access-Control-Allow-Origin "https://second.com"
    
    # 针对重定向目标路径设置正确允许源
    <Location "/test/test">
        Header set Access-Control-Allow-Origin "https://www.first.com"
    </Location>
</IfModule>

方案2：动态匹配合法请求源（更灵活）

用mod_rewrite实现动态校验请求Origin，只允许白名单内的域名，避免硬编码：

<IfModule mod_rewrite.c>
    RewriteEngine On
    # 定义合法源白名单，可根据需要添加
    RewriteCond %{HTTP_ORIGIN} ^https://(www\.first\.com|second\.com)$
    RewriteRule ^ - [E=ALLOW_ORIGIN:%{HTTP_ORIGIN}]
</IfModule>

<IfModule mod_headers.c>
    # 仅当匹配到合法源时设置响应头
    Header set Access-Control-Allow-Origin "%{ALLOW_ORIGIN}e" env=ALLOW_ORIGIN
</IfModule>

方案3：优化重定向逻辑

如果业务允许，调整second.com的重定向规则，直接返回内容而非跳转到first.com。此时你当前second.com的.htaccess配置已经正确（允许https://www.first.com），无需修改first.com的配置即可解决问题。

内容的提问来源于stack exchange，提问作者Alberto P