「CORS」标签下共 9 篇技术文章，包括《微信小程序与 H5 调用第三方 API：先定密钥归属，再选直》、《微信小程序与 H5 调用第三方 API：白名单、CORS 与》、《动漫壁纸与随机图片 API：开发者要先问清的五个问题》。按发布时间倒序排列，内容持续更新。
小程序不走浏览器同源策略，卡点在后台配置的 request 合法域名与 HTTPS；H5 受浏览器 CORS 约束。两者共同的决定因素是密钥放在哪一侧：凡涉及 AppSecret 或长期 API Key，就应走自有服务端代理，而不是…
小程序和 H5 调用第三方 API 的正确做法是先确认两条运行时各自的约束：小程序侧受 request 合法域名限制，H5 侧受同源策略与 CORS 预检限制；两者都应经过自有后端或边缘函数转发，避免把长期密钥放到前端。文章给出代理…
随机图片接口的可用性取决于三件事：随机性怎么定义、返回的是图片还是地址、缓存与限额规则。本文在没有具体接口文档的前提下，给出接入前的核对项、一个未执行的调用骨架，以及缓存、重复率、降级与版权边界上的处理原则。
正文结论：除非接口完全公开且无凭据风险，小程序与 H5 不应在前端直接持有第三方 API 密钥；更稳妥的是前端调用自有后端，由后端完成鉴权、转发、限流与日志脱敏。小程序合法域名和 H5 跨域要求需以平台文档核实。
正确做法不是在页面里直接请求第三方接口，而是拆成三段：不可信的前端、持有密钥的服务端代理、以及上游 API。小程序受平台合法域名约束，H5 受同源策略约束，两者都因为代理而简化；真正决定可用性的，是显式超时、只对幂等请求重试、把错误…
正确姿势是先判断接口是否含密钥与配额要求：公开无密钥接口才评估前端直连，涉及密钥的调用统一走自己的后端代理；小程序重点检查合法域名，H5 重点处理 CORS，并统一超时、错误与重试边界。
客户端不应直接持有第三方 API 密钥，推荐由自有后端做转发与鉴权；小程序与 H5 的差异集中在请求域名配置和跨域机制上，调用逻辑本身可以共用一套契约。本文只给出与平台无关的结构建议，未提供平台文档素材，具体限制需按各平台当前文档核…
小程序和 H5 都不应该直连第三方 API。正确做法是把请求收敛到自有后端或云函数中转，密钥只留在服务端，域名白名单、超时重试、限流和监控都在中转层一次做完，前端只接收业务字段。
正确姿势是先划清信任边界：密钥与写操作一律放服务端，由前端通过自建 BFF 代理调用；小程序配置合法域名并设定超时重试，H5 用同源代理规避 CORS 预检，同时统一错误处理规则与限流缓存。
共 9 篇文章，第 1 / 1 页