生产环境Express+Passport Google OAuth2.0遇CORS错误求助

生产环境中尝试在Express.js后端使用Passport实现Google OAuth2.0认证，当前配置及问题如下：

后端CORS配置 #

origin: function(origin, callback) {
 if (!origin || allowedOrigins.includes(origin)) {
   callback(null, origin); // 返回具体origin，而非通配符
 } else {
   callback(new Error('Not allowed by CORS policy'));
 }
},
credentials: true,
methods: ['GET', 'POST', 'OPTIONS'],
allowedHeaders: ['Content-Type', 'Authorization', 'Accept'],
exposedHeaders: ['Set-Cookie']
}));

前端受保护路由调用check-auth接口代码 #

credentials: 'include', 
method: 'GET',
headers: {
  'Content-Type': 'application/json',
},
});

出现的CORS错误 #

Access to fetch at 'https://api.remarc.me/api/v1/auth/check-auth' from origin 'https://www.remarc.me' has been blocked by CORS policy: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

登录流程：调用api/v1/auth -> 后端重定向至Google -> 回调URL为受保护的仪表盘路由，该路由会调用check-auth验证。

排查方向与解决方案 #

1. 确认allowedOrigins数组包含前端域名

   • 检查allowedOrigins是否明确添加了https://www.remarc.me，注意域名的大小写、协议（http/https）、端口都要完全匹配，不能有拼写错误。
   • 若生产环境存在多个可能的origin，确保所有合法来源都被加入数组。

2. 排查OPTIONS预检请求的处理

   • Express的CORS中间件默认会处理OPTIONS请求，但如果你的路由或其他中间件提前拦截了OPTIONS请求，可能导致CORS头未正确设置。
   • 确保CORS中间件挂载在所有路由之前，优先处理跨域相关的预检请求。

3. 检查check-auth接口是否单独设置了CORS头

   • 若check-auth路由单独配置了CORS（比如使用了局部CORS中间件），可能覆盖了全局配置，导致返回*作为Access-Control-Allow-Origin值。
   • 移除该路由的局部CORS配置，统一使用全局的CORS规则。

4. 反向代理/负载均衡的影响

   • 如果后端部署在反向代理（如Nginx）或负载均衡之后，检查代理服务器是否修改了Access-Control-Allow-Origin头。
   • 确保代理配置中没有强制设置该头为*，保留后端返回的具体origin值。

5. Cookie相关配置验证

   • 确保会话Cookie的domain设置正确，应该是.remarc.me（允许子域共享），同时secure: true（生产环境必须）、httpOnly: true、sameSite: 'lax'或'none'（跨域场景下需设为'none'并配合secure）。

内容的提问来源于stack exchange，提问作者Abdou El Mesnaoui