Cloudflare环境下CORS问题：配置Worker与规则后响应头仍为空

API 探路者

2026-6-23

排查与解决步骤

1. 验证Cloudflare Worker的路由匹配

检查Worker绑定的路由是否为https://server.rorofume.boats/*，确保没有拼写错误或范围不足。

在Worker代码中添加日志，确认请求是否经过Worker：

async function handleRequest(request) {
  const origin = request.headers.get('Origin')
  console.log(`Worker received request: Origin=${origin}, URL=${request.url}`); // 添加此行
  // 原代码...
}

前往Cloudflare Worker的日志面板，查看请求是否被Worker捕获。如果没有日志，说明路由未匹配。

2. 清理Cloudflare缓存并临时禁用缓存

登录Cloudflare后台，进入server.rorofume.boats的缓存页面，点击“清除缓存”->“清除所有缓存”。
开启“开发模式”（缓存选项卡下），禁用Cloudflare的缓存功能，测试请求是否正常。如果恢复正常，说明是缓存导致的问题。

3. 简化CORS配置，避免冲突

暂时关闭其中一种CORS配置（要么禁用Worker，要么删除Cloudflare响应头规则），只保留一种方式处理CORS：
- 若用Worker：确保allowedOrigins包含https://app.rorofume.boats，且当origin为空时，不要返回空值（可默认允许合法来源，或临时用*测试）。
- 若用响应头规则：创建一条规则，匹配条件设为Origin equals "https://app.rorofume.boats"，然后添加响应头：
  - Access-Control-Allow-Origin: https://app.rorofume.boats
  - Access-Control-Allow-Credentials: true
  - Access-Control-Allow-Methods: GET,HEAD,PUT,PATCH,POST,DELETE
  - Access-Control-Allow-Headers: Origin, X-Requested-With, Content-Type, Accept

4. 检查Origin头是否被Cloudflare过滤

查看服务器日志中的Origin字段（你的Express日志有console.log('Origin:', req.headers.origin);），确认从Cloudflare转发的请求是否携带正确的https://app.rorofume.boats。
若Origin为空或不正确，检查Cloudflare的WAF规则，是否有规则修改了请求头；同时查看“网络”->“HTTP请求头修改”，确认没有移除Origin头的配置。

5. 调整Express的CORS配置，适配Cloudflare转发

将Express的cors配置改为动态验证origin，确保能正确识别Cloudflare转发的请求：

const corsOptions = {
  origin: (origin: string | undefined, callback: (err: Error | null, allow?: boolean) => void) => {
    const allowedOrigins = [
      'http://localhost:5173',
      'http://localhost:5174',
      'http://localhost:5175',
      'https://rorofume.boats',
      'https://www.rorofume.boats',
      'https://app.rorofume.boats'
    ];
    console.log(`Express received origin: ${origin}`);
    // 允许无origin的请求（如curl）或合法来源
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  },
  credentials: true,
  allowedHeaders: ['Origin', 'X-Requested-With', 'Content-Type', 'Accept'],
  methods: 'GET,HEAD,PUT,PATCH,POST,DELETE',
};

查看服务器日志，确认Cloudflare转发的请求origin是否被正确识别。

6. 测试OPTIONS预请求

用curl模拟浏览器的OPTIONS预请求，检查响应头：
```
curl -v -X OPTIONS \
  -H "Origin: https://app.rorofume.boats" \
  -H "Access-Control-Request-Method: GET" \
  "https://server.rorofume.boats/users"
```
如果OPTIONS响应没有正确的CORS头，说明预请求未被正确处理，需要调整Worker或响应头规则，确保OPTIONS请求返回完整的CORS头。

内容的提问来源于stack exchange，提问作者Tsabary