Firefox隐私模式下SAP Spartacus访问Basesite API遇CORS问题咨询

是否为预期行为？ #

这不是预期行为。Firefox隐私模式下的跟踪保护会对跨域请求做额外限制（比如拦截第三方Cookie、修改/过滤部分请求/响应头），导致原本正常的CORS请求触发校验失败，属于浏览器隐私保护机制对正常业务请求的误拦截。

可行解决方案 #

• 优化API服务器CORS配置：确保服务器返回的CORS响应头完整合规，重点配置：
  • Access-Control-Allow-Origin：明确设置为前端站点域名（或根据请求Origin动态返回）
  • Access-Control-Allow-Credentials：若请求需携带Cookie，设置为true
  • Access-Control-Allow-Headers：包含前端请求用到的所有自定义头（如有）
• 处理Cookie依赖：若该Basesite API依赖Cookie认证，需确保：
  • 前端请求显式设置withCredentials: true（可在OOTB的baseSiteService配置中调整）
  • 可指引用户将API域名添加到Firefox跟踪保护的例外列表（优先从服务端解决，此为用户端备选操作）
• 调整OOTB请求参数：检查baseSiteService.getAll()的请求是否携带可能被跟踪保护拦截的冗余参数，尝试简化请求字段（比如减少不必要的嵌套字段），降低误拦截概率
• 浏览器兼容配置：在前端站点的响应头中添加Permissions-Policy或优化Content-Security-Policy，明确允许跨域请求到目标API域名，避免Firefox跟踪保护误拦截

补充说明 #

你使用的OOTB方法baseSiteService.getAll()本身合规，问题核心是Firefox跟踪保护机制干扰了CORS流程，优先从服务端调整CORS策略是最根本的解决方式。

内容的提问来源于stack exchange，提问作者rayss