Shopify 前台请求第三方接口报 CORS 怎么解

现象#

浏览器控制台报 blocked by CORS policy，接口在 Postman 里能正常返回。

原因#

• 第三方接口未返回 Access-Control-Allow-Origin
• 请求带了自定义头触发预检，但接口未处理 OPTIONS
• 从预览域名请求，不在对方白名单

处理步骤#

1. 确认对方是否支持浏览器直连，不支持则改为服务端代理
2. 代理放在应用后端或 Shopify App Proxy，避免暴露密钥
3. 必须直连时让对方把店铺域名加入允许列表并处理 OPTIONS
4. 避免在浏览器里放密钥

验收标准#

请求成功且无 CORS 报错，密钥不出现在前端，跨域场景（预览/正式）都可用。