您好，您可以按照以下思路排查&解决（都在服务 b 这边改）： 1.先查服务 b 的响应头有没有 X-Frame-Options。如果您在 edgeone.json 里配了 X-Frame-Options: DENY，先去掉。 2.用 CSP 显式允许被 a.xxx.com 嵌入，在服务 b 的 edgeone.json headers 里加： Content-Security-Policy = frame-ancestors 'self' https://a.xxx.com 3.如果确认报的是真 CORS（iframe 里的页面又去 fetch 其它接口），那是另一回事，在被请求的接口那侧设 Access-Control-Allow-Origin。... 展开详请