HTTPS网站向本地服务器请求时CORS阻止HTTP转HTTPS重定向问题

看起来你碰到了HTTPS页面混合内容限制+CORS配置缺失的双重问题，我来一步步帮你搞定：

问题根源拆解 #

• 首先，HTTPS页面加载HTTP资源属于「混合内容」，浏览器出于安全默认会阻止这类请求——哪怕是本地的localhost也不例外。
• 其次，你的本地服务器还把http://127.0.0.1:5000/重定向到了HTTPS版本，但重定向后的响应里没有带上Access-Control-Allow-Origin头，直接触发了CORS拦截规则。

解决方案（推荐生产/长期测试用） #

1. 让本地服务器跑HTTPS #

既然浏览器对HTTPS页面的混合内容限制很严格，最彻底的办法是让本地服务也使用HTTPS：

• 生成自签名SSL证书（系统一般自带openssl命令，直接在终端运行）：

  openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes
  

• 在你的本地服务中配置HTTPS（以Flask为例，毕竟你用了5000端口，大概率是Flask项目）：

  from flask import Flask
  app = Flask(__name__)
  
  # 绑定SSL证书启动服务
  if __name__ == '__main__':
      app.run(ssl_context=('cert.pem', 'key.pem'))
  

• 第一次访问https://127.0.0.1:5000/时，浏览器会提示「不安全」，手动信任该证书（Chrome里点击「高级」→「继续前往」即可）。

2. 配置CORS允许跨域请求 #

现在本地服务是HTTPS了，但还需要明确允许外部HTTPS页面（比如outlook.com）跨域请求它：

• 用Flask的话，最简单的方式是用flask-cors扩展：

  pip install flask-cors
  

  from flask import Flask
  from flask_cors import CORS
  
  app = Flask(__name__)
  CORS(app)  # 允许所有来源跨域（仅测试用，生产环境要指定具体域名）
  
  @app.route('/')
  def home():
      return "Hello from local server!"
  
  if __name__ == '__main__':
      app.run(ssl_context=('cert.pem', 'key.pem'))
  

• 如果你不想用扩展，也可以手动添加响应头：

  @app.after_request
  def add_cors_headers(response):
      response.headers['Access-Control-Allow-Origin'] = '*'  # 测试用，生产替换为具体域名
      response.headers['Access-Control-Allow-Methods'] = 'GET, POST, OPTIONS'
      response.headers['Access-Control-Allow-Headers'] = 'Content-Type'
      return response
  

临时测试绕过方案（不推荐长期用） #

如果只是临时测试，不想折腾HTTPS和CORS配置，可以关闭Chrome的混合内容限制：

• 关闭所有Chrome窗口，右键Chrome快捷方式→「属性」→在「目标」字段末尾添加 --allow-running-insecure-content（注意前面有空格）
• 重启Chrome后，HTTPS页面就能请求本地HTTP服务了，但这个方法会降低浏览器安全性，只适合临时调试。

为什么HTTP页面能正常工作？ #

HTTP页面没有混合内容的限制，浏览器允许HTTP页面加载HTTP资源；同时对于简单的GET/POST请求，CORS的限制也更宽松，所以你的代码在HTTP页面里能正常运行。

内容的提问来源于stack exchange，提问作者Sijmen