设置正确Origin头仍被拦截：302重定向CORS问题排查

核心问题拆解 #

报错的本质是：浏览器向客户端C发起重定向请求时，客户端C返回的Access-Control-Allow-Origin头未被正确设置，同时跨域重定向场景下的CORS配置存在缺失。

1. 客户端C的Next.js Headers配置语法错误 #

你提供的客户端C配置存在语法错误，Next.js的headers配置要求每个header对象必须包含key和value两个字段，而非直接将header名作为键。错误写法导致Access-Control-Allow-Origin头根本未生效，这是触发报错的直接原因。

正确配置示例：

async headers() {
  return [
    {
      source: '/:path*', // 匹配所有路径，确保重定向目标路径被覆盖
      headers: [
        {
          key: 'Access-Control-Allow-Origin',
          value: 'https://something.localtest.me:3002'
        },
        // 补充跨域必需的额外头
        {
          key: 'Access-Control-Allow-Methods',
          value: 'GET, POST, OPTIONS'
        },
        {
          key: 'Access-Control-Allow-Headers',
          value: 'Content-Type, Authorization'
        },
        {
          key: 'Access-Control-Max-Age',
          value: '86400' // 缓存预请求结果，减少重复OPTIONS请求
        }
      ]
    }
  ]
}

2. 后端B的CORS配置不完整 #

客户端A发起XMLHttpRequest请求时，浏览器会先向后端B发送OPTIONS预请求以确认跨域权限。如果后端B未处理OPTIONS请求，预请求会直接失败，阻断后续流程。

后端B需添加OPTIONS请求的处理逻辑（以Python Django为例）：

def some_path_view(request):
    # 处理OPTIONS预请求
    if request.method == 'OPTIONS':
        resp = HttpResponse()
        resp['Access-Control-Allow-Origin'] = 'https://something.localtest.me:3002'
        resp['Access-Control-Allow-Methods'] = 'GET, POST, OPTIONS'
        resp['Access-Control-Allow-Headers'] = 'Content-Type, Authorization'
        return resp
    
    # 原有302重定向逻辑
    resp = HttpResponse(status=302)
    resp['Access-Control-Allow-Origin'] = 'https://something.localtest.me:3002'
    resp['Location'] = 'https://localtest.me:3006/some/path/123?token=blabla'
    return resp

3. 跨域重定向的特殊注意事项 #

当XMLHttpRequest触发302重定向时，浏览器自动向目标地址发起的请求，Origin仍然是客户端A，需确保：

• 客户端C的headers配置覆盖所有可能被重定向到的路径（用/:path*匹配所有路径）
• 如果客户端A的请求携带凭证（如Cookie），需在客户端C和后端B的配置中添加Access-Control-Allow-Credentials: true，同时客户端A的请求需设置withCredentials: true

验证步骤 #

1. 修复客户端C的headers配置语法，重启服务
2. 确保后端B正确处理OPTIONS预请求
3. 用浏览器开发者工具查看客户端C的OPTIONS响应头，确认Access-Control-Allow-Origin值为https://something.localtest.me:3002

内容的提问来源于stack exchange，提问作者user3371034