浏览器对localhost的特殊处理规则及相关问题咨询

1. localhost与普通域名的核心处理差异 #

• 安全上下文特权：localhost默认归为安全上下文，即使使用HTTP协议，也能调用Service Worker、剪贴板API、地理定位、Web蓝牙等仅HTTPS环境可调用的能力，普通HTTP域名无此权限。但反过来，部分对域名校验要求严格的第三方服务（比如OAuth授权、第三方支付回调、公共API回调）会直接拒绝localhost来源的请求，这也是大家常遇到的localhost下功能异常的核心原因。
• 跨域规则差异：同属localhost范畴的不同端口地址，部分浏览器会默认放行其跨域请求，不需要额外配置CORS规则，普通域名不同端口的跨域请求默认会被拦截。
• Cookie规则差异：localhost的Cookie不强制要求匹配Domain属性，也没有普通域名的跨子域限制，同时浏览器的第三方Cookie拦截策略对localhost的宽松度更高。
• 代理与缓存差异：浏览器默认会绕过系统代理发送localhost请求，不会将其转发到代理服务器；部分浏览器对localhost的静态资源缓存时效更短，甚至开发模式下默认不缓存，方便调试。

2. 浏览器语境下的localhost定义 #

按照W3C《安全上下文》规范及Chrome、Firefox等主流浏览器的实现，满足以下任意条件的地址都会被归类为本地环回可信地址，享受和localhost完全一致的特殊处理规则：

• 域名字面量为localhost，包括所有子域名（如test.localhost、app.test.localhost）
• 解析到IPv4环回段127.0.0.0/8的任意IP地址
• 解析到IPv6环回地址::1的地址

也就是说所有解析到127.0.0.0/8的地址，都属于浏览器认定的localhost范畴。

3. 端口、协议方案对localhost判定的影响 #

• 协议：HTTP/HTTPS/WS/WSS等协议本身不影响localhost身份的判定，只要地址符合上述环回规则，就会被识别为localhost范畴。但协议会影响实际可用的权限，比如HTTPS的localhost支持的API权限比HTTP的更完整。
• 端口：端口不参与localhost身份的判定，不管是80、3000还是任意其他端口，只要地址符合环回规则，就属于localhost范畴。但不同端口的localhost依然属于不同的源，跨源隔离规则依然生效（如localStorage、IndexedDB相互隔离，默认跨端口请求依然需要CORS配置，只是部分浏览器会做特殊放行）。

内容的提问来源于stack exchange，提问作者x-yuri