关于跨源资源请求中Access-Control-Allow-Origin不匹配违规的报告获取问题

首先，我完全理解你的困惑——其他违规（比如CSP）能正常被ReportingObserver捕获并发送到报告端点，但CORP（Cross-Origin-Resource-Policy）导致的Origin匹配错误却毫无动静，这确实容易让人摸不着头脑。问题的核心在于：这类跨源资源访问控制的违规，不属于常规ReportingObserver覆盖的范围，且需要额外配置网络错误日志（NEL）才能触发服务器端报告。

下面具体拆解原因和解决办法：

1. 违规类型的核心差异 #

你遇到的是Cross-Origin-Resource-Policy（CORP）违反，属于网络层级的资源加载错误，而非内容安全策略（CSP）、权限策略这类文档上下文内的策略违规。Chrome的ReportingObserver设计上只针对后者，所以页面内的Observer完全捕获不到CORP相关的违规是正常的。

2. 如何配置才能捕获CORP违规的服务器端报告 #

要让这类错误的报告发送到你的https://main.mydomain/reports端点，你需要在主页面（https://main.mydomain/test.html）的响应头中同时配置Report-To和Network-Error-Logging（NEL）头——注意，是主页面的响应头，而不是图片资源的响应头！

具体配置示例：

# 主页面的响应头
Report-To: {"group":"default","max_age":10886400,"endpoints":[{"url":"https://main.mydomain/reports"}]}
Network-Error-Logging: {"group":"default","max_age":10886400}

• Network-Error-Logging（NEL）头会告诉浏览器，将主页面上下文产生的所有网络错误（包括CORP违反导致的加载失败）关联到指定的Report-To组；
• 你之前在图片资源里加的Report-To和Reporting-Endpoints是无效的，因为这类网络错误的报告上下文是主页面，而非资源本身。

3. 为什么ReportingObserver无法捕获这类违规 #

目前Chrome的实现中，ReportingObserver仅支持捕获文档上下文内的策略违规报告，比如：

• CSP内容安全策略违反
• 权限策略（Permissions Policy）违反
• 混合内容违规

而CORP、CORS这类跨源访问控制的网络错误，属于Network Error Logging（NEL）的管辖范围，只能通过NEL+Report-To的方式发送到服务器端点，无法通过页面内的JavaScript Observer获取。

4. 额外验证要点 #

• 确保你的Chrome版本在76以上（NEL和CORP报告的支持是从这个版本开始完善的）；
• 你使用的--short-reporting-delay启动参数是正确的，能确保报告不会被延迟发送；
• 可以在Chrome的chrome://net-export/中导出网络日志，搜索CORP或report关键词，确认报告是否被生成并尝试发送，帮助排查端点接收问题。

总结一下：CORP导致的Origin匹配错误需要通过主页面的NEL+Report-To配置才能触发服务器端报告，且无法通过页面内的ReportingObserver捕获——这是当前浏览器Reporting API的设计范围决定的。

内容来源于stack exchange