调用LinkedIn API出现CORS错误，已配置对应响应头仍无法解决

问题原因 #

• 你犯了CORS机制的最常见认知错误：Access-Control-Allow-Origin、Access-Control-Allow-Credentials这类字段属于响应头，是由被请求的服务端（也就是LinkedIn的API服务器）返回给浏览器的，你作为前端在请求头里主动添加这些字段完全无效，还会额外增加预检请求的校验规则，反而更容易触发跨域报错。
• LinkedIn官方公开API从设计层面就不支持浏览器端直接跨域调用，本身就不会返回跨域相关的响应头，你直接从前端发请求必然会被CORS策略拦截。

解决方案 #

• 最优方案：通过你自己的后端服务代理请求。前端将请求发送给同域名的后端服务，由后端转发请求到LinkedIn API，拿到响应结果后再返回给前端。你自己的后端可以自由配置跨域响应头，完全规避这个问题，同时也符合LinkedIn的API使用规范，避免密钥、token等敏感信息暴露在前端。
• 本地开发临时解决方案：可以配置前端开发代理，比如Vue项目在vue.config.js中配置devServer代理规则，React项目在package.json中添加proxy字段，或者用Nginx做反向代理，将指定路径的请求转发到https://api.linkedin.com，即可在本地开发阶段绕过CORS限制。注意这种方案仅适用于本地调试，生产环境必须走后端代理。
• 禁止操作：不要使用JSONP、公开第三方CORS代理服务请求LinkedIn API，一方面会导致用户授权token、接口密钥等敏感信息泄露，另一方面违反LinkedIn开发者协议，可能会被封禁API调用权限。

额外提示 #

你之前在请求头中添加的所有Access-Control-*相关字段都可以删除，仅保留业务需要的请求头（比如Content-Type、授权头）即可，多余的头字段会增加预检请求的校验成本，没有任何正面作用。

内容的提问来源于stack exchange，提问作者Dharti Mirani