简体中文
EnglishCors Anywhere 是什么?能解决什么问题?
更新时间
Cors Anywhere 是 Rob Wu 开发的一个用 NodeJS 编写的反向代理工具，核心功能是给经过它代理的请求加上 CORS 响应头。当你在前端开发中遇到浏览器因同源策略拦截跨域请求、而目标服务又不返回 Access-Control-Allow-Origin 时，把请求指向 Cors Anywhere 代理即可绕过这一限制。它面向的是开发调试场景，不是给生产环境长期依赖的通用网关。
它解决的具体问题
浏览器的同源策略规定：页面脚本只能读取与当前页面同源（协议、域名、端口一致）的响应。如果目标 API 没有返回允许跨域的响应头，即使请求实际发出并拿到了数据，前端 JavaScript 也读不到响应内容。
Cors Anywhere 的做法是站在中间：
- 前端把请求发给 Cors Anywhere 代理地址，而不是直接发给目标服务；
- 代理向目标服务发起请求，拿到响应；
- 代理在响应上补充 CORS 相关响应头，再返回给前端；
- 浏览器看到合法的 CORS 头，放行这次跨域读取。
所以它解决的是“响应头缺失导致的跨域读取失败”，而不是网络不通或目标服务本身拒绝请求。
适用与不适用的场景
| 场景 | 是否适合 | 说明 |
|---|---|---|
| 本地开发时调用没有 CORS 头的第三方 API | 适合 | 快速验证接口、调试前端逻辑 |
| 临时演示、在线 demo 中拉取跨域数据 | 适合 | 页面提供了在线演示，可先观察其行为 |
| 生产环境长期依赖公共代理转发用户请求 | 不适合 | 请求会经过第三方，涉及数据与可用性风险 |
| 目标服务需要携带敏感凭证（Cookie、Token） | 需谨慎 | 凭证会经过代理，应优先自建或改用服务端转发 |
| 目标服务本身有鉴权、限流或封禁策略 | 不解决 | 代理只补响应头，不改变目标服务的访问控制 |
使用方式与验证
页面提供了在线演示，可以先通过演示确认代理行为是否符合预期。自建使用时，基本流程是：
- 输入：一个部署了 Cors Anywhere 的 NodeJS 服务地址，以及要访问的目标 URL；
- 动作：前端把请求地址替换为“代理地址 + 目标 URL”的形式；
- 预期结果：响应中带有 CORS 头，浏览器不再报跨域读取错误，前端能正常拿到数据。
验证方法很直接：在浏览器开发者工具的 Network 面板查看该请求的响应头，确认存在 Access-Control-Allow-Origin；同时对比直接请求目标地址时的报错信息，若报错从 CORS 拦截变为正常返回，说明代理生效。
常见卡点有三个：一是代理服务本身未启动或地址写错，表现为连接失败而非 CORS 报错；二是目标服务要求特定请求头或方法，代理转发时需要一并带上；三是把公共代理用于生产流量，导致稳定性与隐私问题。
与作者其他工具的关系
Rob Wu 的主页还列出了 Extension dev tools（简化浏览器扩展的开发与部署）、canvas-interceptor（隔离渲染问题、构造最小复现用例）、zipinfo.js（列出 zip 文件内容）等开发者工具。Cors Anywhere 的定位是其中偏“联调辅助”的一类：它不参与构建，只在跨域请求这一具体环节上提供便利。如果你的问题不是跨域读取，而是扩展开发流程或渲染调试，应转向对应的工具。