根因:构造函数设 Access-Control-Allow-Origin: 具体域名 + Credentials: true, 但每个方法又覆盖成 Origin: *,导致 Credentials+通配符冲突,浏览器拒绝请求。 删除全部41处方法级CORS头,只保留构造函数的白名单机制。
根因:构造函数设 Access-Control-Allow-Origin: 具体域名 + Credentials: true, 但每个方法又覆盖成 Origin: *,导致 Credentials+通配符冲突,浏览器拒绝请求。 删除全部41处方法级CORS头,只保留构造函数的白名单机制。