iOS 15 Safari Web Extension background请求CORS问题如何解决？

你之前尝试的固定配置safari-web-extension://<guid>的方案失效，核心原因是Safari扩展每次安装生成的实例ID为随机值，没有固定值可提前配置，可通过以下几种方案解决：

方案1：配置扩展Host权限（最优解） #

• 直接在Safari Web Extension的manifest.json配置文件的permissions字段中，添加你需要请求的目标域名权限，示例配置如下：

{
  "permissions": [
    "https://你的业务接口域名/*"
  ]
}

• 配置完成后，从background.js发起的对应域名请求会自动跳过浏览器CORS校验，不需要服务端做任何CORS相关配置，也完全不受扩展安装GUID变化的影响，iOS 15及以上版本的Safari均支持该能力。

方案2：服务端动态校验返回CORS头 #

如果不想给扩展配置Host权限，可通过自定义标识做动态校验：

• 在background.js的所有fetch请求中，添加提前约定好的自定义校验请求头，示例如下：

fetch('https://你的业务接口域名/接口路径', {
  headers: {
    'X-Extension-Verify': '你们自定义的固定校验字符串'
  }
})

• 服务端收到请求后，先校验X-Extension-Verify的值是否符合预期，校验通过后，直接将请求头中携带的Origin值作为Access-Control-Allow-Origin的返回值，同时返回Vary: Origin头避免缓存冲突。该方式仅允许带正确校验标识的请求跨域，不会放开所有来源的访问权限。

方案3：服务端配置Origin前缀匹配 #

如果无法修改扩展的请求逻辑添加自定义头，服务端可配置Access-Control-Allow-Origin的匹配规则，仅匹配前缀为safari-web-extension://的Origin请求，匹配通过后返回对应Origin值即可，相比配置*的安全度更高，仅允许Safari扩展类的来源访问。

内容的提问来源于stack exchange，提问作者Swaminathan Venkataraman