跨域资源共享(CORS)问题咨询：HTTP接口跨域及HTTPS调用HTTP方案

首先恭喜你已经搞定了跨域CORS的问题！你的Jersey配置（处理OPTIONS预检请求+在POST接口添加CORS响应头）以及调整Axios默认头的操作，确实是解决跨域问题的标准操作，能正常工作就说明配置没问题啦。

接下来你问的HTTPS站点调用HTTP接口的问题，这是浏览器的「混合内容安全策略」导致的——浏览器会严格限制HTTPS加密页面加载未加密的HTTP资源，因为这样会破坏HTTPS的安全完整性，容易被中间人攻击。下面给你几个可行的方案，分场景推荐：

1. 最推荐：把目标HTTP接口升级为HTTPS #

这是从根源解决问题的方案，也是符合现代Web安全标准的做法。给domain1的服务配置SSL证书（可以用免费的Let's Encrypt证书），把接口改成HTTPS访问，这样就完全不存在混合内容的限制了，同时还提升了整个服务的安全性。

2. 生产环境可用：反向代理中转 #

如果暂时没法升级domain1的HTTPS，可以在你的HTTPS站点（app2）的服务器上配置反向代理，把对特定路径的请求转发到HTTP的目标接口。比如用Nginx做代理，配置示例如下：

server {
    listen 443 ssl;
    server_name app2;
    # 配置你的SSL证书路径
    ssl_certificate /path/to/your/cert.pem;
    ssl_certificate_key /path/to/your/key.pem;

    # 把/api路径的请求转发到domain1的HTTP接口
    location /api/ {
        proxy_pass http://192.168.1.140:8090/app1/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

配置完成后，前端Axios就可以调用/api/auth/login（对应HTTPS的app2域名），Nginx会自动把请求转发到目标HTTP接口，浏览器只会看到HTTPS的请求，不会触发混合内容限制。

3. 开发测试专用：临时关闭浏览器安全限制 #

如果只是开发环境测试用，可以临时关闭浏览器的混合内容检查。比如Chrome浏览器，可以通过以下启动参数打开：

chrome.exe --disable-web-security --user-data-dir=C:/MyChromeDevUserData

⚠️ 注意：这个方法绝对不能用于生产环境，会带来严重的安全风险，只适合本地开发调试。

4. 后端中转：用你的Java服务做中间层 #

在你的Jersey（App2）后端写一个中转接口，前端调用这个HTTPS的中转接口，然后由后端去调用domain1的HTTP接口（后端不受浏览器混合内容策略的限制）。示例代码大概是这样：

@POST
@Path("/proxy-login")
@Consumes("application/x-www-form-urlencoded")
@Produces("application/json")
public Response proxyLogin(@FormParam("username") String username, @FormParam("password") String password) {
    // 用HttpClient调用domain1的HTTP接口
    CloseableHttpClient httpClient = HttpClients.createDefault();
    HttpPost httpPost = new HttpPost("http://192.168.1.140:8090/app1/auth/login");
    
    // 设置表单参数
    List<NameValuePair> params = new ArrayList<>();
    params.add(new BasicNameValuePair("username", username));
    params.add(new BasicNameValuePair("password", password));
    httpPost.setEntity(new UrlEncodedFormEntity(params));
    
    try {
        CloseableHttpResponse response = httpClient.execute(httpPost);
        // 读取目标接口的响应，返回给前端
        String responseBody = EntityUtils.toString(response.getEntity());
        return Response.status(response.getStatusLine().getStatusCode())
                .entity(responseBody)
                .build();
    } catch (IOException e) {
        e.printStackTrace();
        return Response.status(500).entity("中转请求失败").build();
    }
}

前端就可以调用/proxy-login这个HTTPS接口，由App2的后端去请求HTTP的目标接口，规避浏览器的限制。

内容的提问来源于stack exchange，提问作者jeyGey