如何让Firefox在CORS预请求中发送HTTPS客户端证书

首先明确：Firefox的这个行为符合CORS规范——规范要求OPTIONS预请求作为匿名请求发送，不能携带任何凭证（包括客户端证书、Cookie等），默认情况下无法强制它在预请求里发送证书。但可以通过以下几种方式解决你的问题：

1. 服务器端放行OPTIONS请求（推荐） #

这是最标准、最安全的解决方案：

• 配置你的Web服务器/API网关，对所有OPTIONS类型的预请求跳过客户端证书验证
• 确保OPTIONS请求返回正确的CORS响应头，包括Access-Control-Allow-Origin（匹配请求来源）、Access-Control-Allow-Methods（允许的HTTP方法）、Access-Control-Allow-Headers（允许的自定义头），以及Access-Control-Allow-Credentials: true（适配客户端证书这类凭证场景）

预请求被正常放行后，后续的实际请求（GET/POST等）会自动携带客户端证书，不会影响原有认证逻辑。

2. 修改Firefox全局配置（仅适合内部预发布环境） #

如果你的预发布环境仅内部使用，无需考虑普通用户安全风险，可以修改Firefox隐藏配置强制预请求发送客户端证书：

1. 在Firefox地址栏输入about:config回车，确认风险提示
2. 搜索参数network.cors_preflight.allow_client_cert
3. 将参数值从false改为true

注意：该设置对所有网站生效，存在安全隐患，不建议给外部用户使用。

3. 规避跨域场景 #

如果架构允许，尽量将API请求调整为同域请求：

• 通过反向代理将所有子域名服务映射到同一个主域名下，比如把rest.site.com/api映射为site.com/rest-api
• 前端使用同域代理，让浏览器发送同域请求，避免触发CORS预请求

内容的提问来源于stack exchange，提问作者user2741831