问题：.htaccess重定向Postman正常但Chrome遇CORS失效

我之前帮好几个开发者排查过类似的问题，核心就是浏览器的CORS校验规则比Postman严格太多，再加上重定向这个中间环节没处理到位，就会出现这种「Postman能用、浏览器报错」的诡异情况。咱们一步步拆解解决：

Postman不会触发浏览器的CORS预检流程，直接发送请求就能拿到响应；但Chrome这类浏览器会先发送OPTIONS预检请求，验证目标域名是否允许跨域。你的场景里，DomainB通过.htaccess做重定向，导致：

1. 浏览器先向DomainB发OPTIONS请求，若重定向规则没覆盖OPTIONS方法，会直接失败
2. 就算OPTIONS被重定向到DomainA，浏览器会认为预检响应来自DomainA，和发起请求的DomainB不匹配，触发校验报错

方案一：修正.htaccess的重定向规则，兼容OPTIONS预检 #

默认的重定向规则通常只处理GET/POST，得专门给OPTIONS请求开绿灯，直接返回带CORS头的200响应，避免重定向。修改你的.htaccess：

RewriteEngine On

# 非OPTIONS请求正常重定向到DomainA
RewriteCond %{REQUEST_METHOD} !OPTIONS
RewriteRule ^(.*)$ https://DomainA/$1 [R=302,L]

# 处理OPTIONS预检请求，直接返回200并带上CORS头
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L,E=HTTP_ORIGIN:%{HTTP:Origin}]

Header always set Access-Control-Allow-Origin "*"
Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
Header always set Access-Control-Allow-Headers "Content-Type, Authorization"

方案二：确保DomainA的CORS过滤器覆盖所有请求方法 #

虽然你配置了Access-control-allow-origin *，但要确认Jersey的响应过滤器真的处理了OPTIONS请求。检查你的过滤器代码，确保它能拦截OPTIONS并返回正确的头：

public class CORSFilter implements ContainerResponseFilter {
    @Override
    public void filter(ContainerRequestContext requestContext, ContainerResponseContext responseContext) throws IOException {
        // 允许所有域名跨域
        responseContext.getHeaders().add("Access-Control-Allow-Origin", "*");
        // 允许的请求方法
        responseContext.getHeaders().add("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        // 允许的请求头
        responseContext.getHeaders().add("Access-Control-Allow-Headers", "Content-Type, Authorization");
        
        // 预检请求直接返回200，无需走业务逻辑
        if ("OPTIONS".equalsIgnoreCase(requestContext.getMethod())) {
            responseContext.setStatus(Response.Status.OK.getStatusCode());
        }
    }
}

同时确认这个过滤器已经正确注册到你的Jersey应用配置中。

方案三：改用反向代理（更优方案） #

重定向会让浏览器发起两次请求，容易触发CORS校验的边缘问题。如果one.com的主机支持mod_proxy，把DomainB配置成反向代理，让浏览器看起来所有请求都直接来自DomainB，从根源避免跨域问题：

RewriteEngine On

# 把DomainB的请求反向代理到DomainA
ProxyPass / https://DomainA/
ProxyPassReverse / https://DomainA/

# 给代理后的响应添加CORS头
Header always set Access-Control-Allow-Origin "*"
Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
Header always set Access-Control-Allow-Headers "Content-Type, Authorization"

修改配置后，打开Chrome开发者工具（F12）的「Network」面板：

1. 触发接口请求，先看OPTIONS请求的状态码是否为200
2. 检查OPTIONS和实际请求的响应头里，是否包含正确的Access-Control-*字段

内容的提问来源于stack exchange，提问作者PNS