HTTP站点嵌入HTTPS谷歌字体触发CORS报错，求Apache服务端解决方案

这个报错是浏览器私有网络访问（PNA）安全策略触发的拦截：HTTP 协议加载的页面属于非安全上下文，默认被禁止请求更高安全等级、或归属私有地址空间的跨源资源。

方案1：站点全量升级HTTPS（最优解，永久解决） #

从根源消除非安全上下文限制，步骤如下：

• 启用Apache SSL模块：a2enmod ssl
• 启用默认SSL站点配置：a2ensite default-ssl
• 编辑SSL站点配置文件（通常路径为/etc/apache2/sites-available/default-ssl.conf），配置你的SSL证书路径，示例配置片段：

<VirtualHost *:443>
    ServerName 你的站点域名
    DocumentRoot 你的站点根目录路径
    SSLEngine on
    SSLCertificateFile 你的证书公钥路径.pem
    SSLCertificateKeyFile 你的证书私钥路径.key
    SSLCertificateChainFile 你的证书链路径.pem # 部分证书不需要该配置
</VirtualHost>

• 可选配置HTTP自动跳转HTTPS，编辑80端口的站点配置，添加规则：

<VirtualHost *:80>
    ServerName 你的站点域名
    Redirect permanent / https://你的站点域名/
</VirtualHost>

• 重启Apache生效：systemctl restart apache2（Debian/Ubuntu环境）/ systemctl restart httpd（CentOS/RHEL环境）

方案2：临时添加PNA允许头（适合本地开发测试场景） #

如果暂时无法升级HTTPS，可以通过配置响应头放开私有网络访问限制：

• 启用Apache headers模块：a2enmod headers
• 在站点根目录的.htaccess文件，或站点全局配置中添加规则：

Header set Access-Control-Allow-Private-Network "true"

• 重启Apache生效

方案3：反向代理谷歌字体资源 #

将谷歌字体资源代理到你的站点同域下，避免跨源请求触发限制：

• 启用代理相关模块：a2enmod proxy proxy_http ssl
• 在站点配置中添加反向代理规则：

ProxyPass /google-fonts/ https://fonts.googleapis.com/
ProxyPassReverse /google-fonts/ https://fonts.googleapis.com/
SSLProxyEngine on

• 修改页面中谷歌字体的引用地址，把https://fonts.googleapis.com/开头的路径替换为你的站点路径/google-fonts/即可，无需修改其他参数。
• 重启Apache生效

内容的提问来源于stack exchange，提问作者Apache newbie