嵌入Trello iframe的WordPress登录CORS问题排查求助

• CORS凭证与通配符冲突：当前access-control-allow-origin设为*，但同时开启了access-control-allow-credentials: true，这是浏览器明确禁止的组合。必须将access-control-allow-origin设置为具体域名https://trello.com，不能使用通配符。
• 检查302重定向目标的嵌入权限：确认location字段指向的重定向地址，其CSP（frame-ancestors）和CORS设置是否允许被trello.com的iframe嵌入。
• Cookie的SameSite属性修正：WordPress设置的Cookie未指定SameSite属性，默认可能为Lax，跨域iframe提交表单时Lax级别的Cookie不会被发送。需将Cookie的SameSite设为None，同时必须搭配Secure属性（站点为HTTPS环境）。
• 排查配置覆盖问题：主机商缓存策略、安全插件、服务器层面（Cloudflare、Nginx/Apache）的配置可能覆盖你设置的CORS头。可临时禁用所有WordPress安全类插件，或检查服务器配置文件中的CORS规则。
• 验证CSP规则完整性：虽然frame-ancestors 'self' trello.com配置正确，但需确认是否存在frame-src等其他CSP规则限制了iframe加载。
• 调整WordPress登录重定向逻辑：WordPress默认登录成功后重定向至后台，需确认该地址是否允许被Trello的iframe嵌入；也可通过WordPress钩子修改登录后的重定向目标为允许嵌入的页面。

内容的提问来源于stack exchange，提问作者HelloWorld