Chrome 94 CORS private adress 问题

起因

在 CodeReview 时候，发现请求报错，还以为后端环境又坏了（调试环境-囧），查了下页面报错如下

Access to XMLHttpRequest at ‘10.120.xxx’ from origin ‘http://xxx’ has been blocked by CORS policy: The request client is not a secure context and the resource is in more-private address space private.

这段英文表示 “因为违反了跨域策略所以请求被阻止了，因为这次请求不是 https 的，并且请求的地址是 private 的”原来不是环境问题，是被 chrome 阻止了

请求报错的产生总结：

• CORS 跨域请求
• 更新到 Chrome 94 版本以上
• 请求了不安全的 http 的内网 ip 地址

Chrome 94 更新

上面错误提示中说了 CORS “跨域请求”，在 94 版本后，使用跨域请求需要满足两个条件之一即可

• 也就是 https 的请求
• 非 private 的 http 请求

那为什么要这样做呢？我们先查阅下 Chrome 的更新记录

google chrome 历史版本更新日志en.wikipedia.org/wiki/Google…

从图中看到新增了 “Restriction of private network requests for subresources to secure contexts” 也就是 “限制针对私有网络的资源请求”

谷歌的开发者解释了加入这层限制的原理 developer.chrome.com/blog/priv