Node.js（Express.js）调用API时持续出现CORS错误求助

问题描述 #

希望仅允许特定域名发起请求，已尝试两种CORS配置方案，但前端请求仍持续出现CORS错误。

尝试的第一种方案 #

const allowlist = [
 // 这里是允许的域名列表
];

// 自定义CORS委托函数
function corsOptionsDelegate(req, callback) {
  let corsOptions;
  console.log('header', req.header('Origin'));
  console.log('header', req.header('Referer'));

  if (allowlist.indexOf(req.header('Origin')) !== -1) {
    corsOptions = {
      origin: true, // 反射请求的Origin
      methods: ['GET', 'POST', 'PUT'], // 允许的请求方法
      allowedHeaders: ['Content-Type', 'api-key', 'MerchantId'],

    };
  } else {
    corsOptions = { origin: false };
  }
  
  callback(null, corsOptions);
}

// 给所有路由应用自定义CORS配置
app.use(cors(corsOptionsDelegate));

尝试的第二种方案 #

app.use(
  cors({
    origin: [
      // 允许的域名列表
    ],
    methods: ['GET', 'POST', 'PUT'],
    allowedHeaders: ['Content-Type', 'api-key', 'MerchantId'],
  })
);

排查与解决建议 #

• 检查域名格式完全匹配：确保allowlist里的域名和请求的Origin完全一致，必须包含协议（http/https）、非默认端口（比如8080、3000）。比如请求是https://test.example.com:3000，列表里不能只写test.example.com。
• 处理空/异常Origin：部分客户端（如Postman、内嵌WebView）可能发送空Origin或特殊值，此时req.header('Origin')会是undefined，需要在判断逻辑里加入兜底，避免误拦截合法请求。
• 验证OPTIONS预检请求：浏览器跨域请求前会先发OPTIONS预检请求，确认服务器允许跨域。检查服务器是否正确响应OPTIONS请求，确保没有自定义路由拦截该方法（cors库默认处理OPTIONS，但如果有前置中间件拦截会失效）。
• 排查中间件冲突：如果应用里还有其他处理响应头的中间件，可能覆盖CORS配置。确保cors中间件是最早加载的中间件之一，避免被后续中间件修改响应头。
• 核对控制台日志：第一种方案里的console.log可以输出实际请求的Origin，对比列表里的域名，排查拼写、大小写（域名不区分大小写，但统一格式更稳妥）、协议端口等问题。
• 用正则适配灵活场景：如果需要允许子域名，可改用正则表达式。比如允许所有*.example.com域名，第二种方案可写成origin: /^https?:\/\/.*\.example\.com$/。

内容的提问来源于stack exchange，提问作者Alea