Express.js中CORS处理时req.headers.origin为undefined的问题解决

常见原因 #

• 同域请求场景：浏览器发起同域请求时，不会自动携带Origin请求头，此时req.headers.origin自然为undefined。你之前用原生HTTP模块时可能测试的是跨域请求，所以能正常获取Origin。
• 非浏览器发起的请求：用Postman、curl等工具测试时，默认不会添加Origin头，需要手动指定才能被Express捕获。
• 反向代理未转发Origin头：如果服务部署在Nginx等反向代理之后，代理服务器可能没有转发Origin请求头，导致Express无法获取。

修复方案 #

1. 兼容同域请求（最常见场景） #

修改corsOptions中的origin校验逻辑，允许origin为undefined的情况（同域请求本身是安全的）：

// 替换为你的实际白名单域名
const whitelist = ['https://your-allowed-domain.com', 'http://localhost:3000'];

const corsOptions = {
  origin: function (origin, callback) {
    // 允许同域请求（origin为undefined）或白名单内的域名
    if (!origin || whitelist.indexOf(origin) !== -1) {
      callback(null, true)
    } else {
      callback(new Error("Not allowed by CORS"))
    }
  },
  credentials: true, //access-control-allow-credentials:true
  optionSuccessStatus: 200,
  exposedHeaders: ['Content-Disposition']
}

2. 确保测试请求是跨域的 #

• 用浏览器从不同域名/端口发起请求，比如前端跑在localhost:3000，后端在localhost:4000，浏览器会自动携带Origin头。
• 用Postman测试时，手动添加Origin请求头（在Headers栏添加Key为Origin，Value为测试域名）。

3. 配置反向代理转发Origin头 #

如果使用Nginx作为反向代理，在配置文件中添加以下指令，确保转发Origin头：

location / {
  proxy_pass http://your-express-server:port;
  proxy_set_header Origin $http_origin;
  proxy_set_header Host $host;
}

4. 确认中间件顺序 #

确保cors中间件在所有路由和解析中间件（如express.json()、cookieParser()）之前加载，你的代码中顺序是正确的，可保持当前配置。

验证修改 #

重启服务后，用跨域请求测试，req.headers.origin将正确返回请求源，同域请求也能正常通过CORS校验。

内容的提问来源于stack exchange，提问作者Moazzam Ahmed