UPS XML费率请求访问被拒：CORS跨域问题求助

兄弟，我太懂你这种搜了一堆CORS方案却越搞越懵的感觉了！你的问题核心其实是没搞清楚前端跨域的本质，还有IE和Chrome同源策略的差异，我给你拆解清楚，一步步解决：

一、先搞明白本地Chrome为啥跑不起来 #

本地IE能正常运行，完全是因为旧版IE的同源策略限制比Chrome宽松太多——你直接打开本地HTML文件时，浏览器用的是file://协议，而UPS的接口是https://，跨了协议+域名，Chrome严格执行同源策略，直接给你拦了。

给你两个本地调试的临时方案：

• 启动Chrome时加参数：chrome.exe --disable-web-security --user-data-dir="C:/ChromeDevSession"，临时关闭同源策略（仅限调试用，别用于日常浏览），这样能先验证你的脚本逻辑本身没问题。
• 把本地文件放到小型Web服务器里，比如用Python开个临时服务：python -m http.server，然后用http://localhost:8000访问你的页面，协议统一后就不会触发跨域了。

二、IIS部署后的CORS错误：核心是前端不能直接调第三方接口 #

你碰到的Origin https://www..com未在Access-Control-Allow-Origin头中找到，本质是UPS的服务器没把你的域名加入跨域白名单，而浏览器不允许前端直接跨域请求第三方接口——你自己改IIS的CORS配置根本没用，因为CORS的权限是由目标服务器（也就是UPS）决定的，不是你的服务器。

那正确的解法是做一个后端代理：

1. 在你的IIS服务器上写个简单的后端接口当中间层，比如用ASP.NET的一般处理程序，或者你熟悉的任何后端语言。
2. 前端页面只请求你自己IIS上的这个代理接口（同域，不会有CORS问题）。
3. 由你的后端接口去请求UPS的XML费率接口——服务器之间的请求不受浏览器同源策略限制，完美绕开跨域问题。

举个ASP.NET代理的例子（快速实现） #

新建一个一般处理程序UPSRateProxy.ashx，代码如下：

public void ProcessRequest(HttpContext context)
{
    context.Response.ContentType = "text/xml";
    // 接收前端传来的UPS XML请求内容
    string upsXmlRequest = context.Request.Form["xmlRequest"];

    // 发起对UPS接口的请求
    using (var client = new WebClient())
    {
        client.Headers.Add("Content-Type", "text/xml");
        // 这里放UPS的认证信息（绝对不能放前端！）
        // client.Headers.Add("Authorization", "Basic " + Convert.ToBase64String(Encoding.ASCII.GetBytes("你的授权号:用户名:密码")));
        string upsResponse = client.UploadString("https://onlinetools.ups.com/ups.app/xml/Rate", upsXmlRequest);
        context.Response.Write(upsResponse);
    }
}

然后把前端脚本里请求UPS的地址改成/UPSRateProxy.ashx，把XML请求体通过POST发过去就行。

三、几个必须注意的细节 #

• 绝对不能把UPS的认证信息（授权号、用户名、密码）放在前端脚本里，必须存在后端代理里，否则分分钟泄露敏感信息。
• 检查IIS是否开启了必要功能：比如用ASP.NET的话，要确保IIS里启用了ASP.NET模块；如果是其他后端语言，也要对应配置好运行环境。
• 如果你网站是HTTPS的，要确保后端请求UPS接口时SSL证书验证正常，避免出现证书错误导致请求失败。

这样调整后，不管是本地Chrome调试还是部署到IIS，都不会再碰到CORS问题了，还能保护你的UPS认证信息安全。

内容的提问来源于stack exchange，提问作者Tom