带www域名发起PDF打印API请求触发CORS报错该如何排查？

可能的问题原因 #

• 允许源配置协议不匹配：你在API后台填写的允许源是http://www.seinon.com，但实际请求发起源是https://www.seinon.com，HTTP和HTTPS属于不同的源，会被CORS策略拦截。需要将https://www.seinon.com也添加到允许源列表，或确认站点实际访问协议后正确配置。
• 带凭证请求与通配符源冲突：你需要保留页面会话说明请求需要携带Cookie凭证，这种情况下CORS规则不允许Access-Control-Allow-Origin使用*通配符，必须明确指定和请求源完全一致的域名，同时还要额外添加Access-Control-Allow-Credentials: true响应头，否则即使配置了通配符也会被拦截。
• 未处理OPTIONS预检请求：如果你的请求包含自定义头、非简单请求方法/请求体格式，浏览器会先发送OPTIONS类型的预检请求校验跨域权限。你当前只给正常业务响应添加了CORS头，没有对OPTIONS请求单独配置返回对应CORS头的话，预检请求会直接被拒绝，触发该报错。
• 响应头未实际生效：你通过Response.AddHeader添加头的逻辑可能执行时机不对，必须放在响应体输出前执行才会生效；另外如果API前端有CDN、WAF等代理层，可能会过滤掉自定义添加的响应头，或是缓存了未加CORS头的旧响应。你可以在浏览器开发者工具的「网络」面板，查看该API请求的实际响应头，确认Access-Control-Allow-Origin是否真的存在。
• 头名存在拼写/格式错误：检查Response.AddHeader添加头的代码，确认Access-Control-Allow-Origin的拼写正确，头名前后没有多余空格，错误的头名会导致浏览器无法识别到对应的CORS配置。
• API官方限制前端直接调用：部分PDF服务类API出于安全（避免API密钥泄露在前端）的考虑，本身就不支持浏览器端直接发起跨域请求，即使配置了允许源也不会生效。这种情况必须通过自有服务端做代理中转：前端请求自有服务端接口，再由服务端调用PDF打印API，拿到结果后返回给前端，既可以规避跨域问题，也能避免API密钥泄露。

内容的提问来源于stack exchange，提问作者Pedro Jose