生产环境Express后端CORS限制失效排查求助（关联Nginx配置）

1. Express CORS中间件拼写错误 #

你的Express代码里把cors写成了corns，这个拼写错误会导致CORS中间件根本没有被正确加载，后端完全未启用CORS限制，自然任意源都能发起请求。

修复方法：
将corns改为正确的cors：

this.app.use(
   cors({
     origin: [
       process.env.WEBSITE_URL,
       process.env.DASHBOARD_PUBLIC_DEV_URL_HTTPS,
       process.env.DASHBOARD_PUBLIC_DEV_URL_HTTP,
       process.env.DASHBOARD_LOCAL_HTTPS_URL,
       process.env.DASHBOARD_LOCAL_HTTP_URL,
       process.env.DASHBOARD_PUBLIC_PROD_URL_HTTPS
     ],
     credentials: true
   })
);

2. Nginx配置中的路由指令拼写错误 #

你的前后端Nginx配置里都把location写成了rental，这个错误会导致Nginx无法正确解析路由规则，请求无法按预期转发。另外前端配置里的indexindex.html也是笔误，会影响首页加载逻辑。

修复方法：
将两个配置中的rental替换为location，修正前端的index指令：

修正后的后端Nginx配置：

server {
     listen {{nginx_http_port}};
     server_name {{nginx_backend_domain}};

     location / {
         proxy_pass http://localhost:{{nginx_backend_port}};
         proxy_http_version 1.1;
         proxy_set_header Upgrade $http_upgrade;
         proxy_set_header Connection 'upgrade';
         proxy_set_header Host $host;
         proxy_set_header Origin $http_origin; # 显式传递Origin请求头，确保后端能获取到
         proxy_cache_bypass $http_upgrade;
     }
}

修正后的前端Nginx配置：

server {
     listen {{nginx_http_port}};
     server_name {{nginx_dashboard_domain}};

     location / {
         root {{ nginx_frontend_dist_directory }};
         index index.html;
         try_files $uri $uri/ /index.html;
     }
}

3. 生产环境环境变量配置问题 #

• 确保生产环境中DASHBOARD_PUBLIC_PROD_URL_HTTPS的取值是正确的生产前端域名：https://dashboard.digital-express.cloud（必须包含完整协议和域名）。
• 生产环境建议移除开发、本地相关的Origin配置，只保留生产环境需要的源，减少冗余：

origin: [
  process.env.WEBSITE_URL,
  process.env.DASHBOARD_PUBLIC_PROD_URL_HTTPS
],

• 验证后端服务是否正确加载了这些环境变量：通过Ansible部署时，确保环境变量已正确注入到后端进程中（比如通过systemd服务文件传递，或使用dotenv加载生产环境的.env文件）。

4. 验证Nginx是否传递Origin请求头 #

CORS机制依赖浏览器发送的Origin请求头，后端的CORS中间件需要读取这个头判断是否允许请求。修正后的Nginx后端配置中添加了proxy_set_header Origin $http_origin;，确保Nginx不会过滤该请求头，让后端能正确获取请求来源。

验证修复效果 #

1. 重启Nginx服务：sudo systemctl restart nginx
2. 重启后端Express服务，确保修改后的代码和环境变量生效
3. 使用curl测试CORS限制：

curl -H "Origin: https://random-domain.com" -I https://api.digital-express.cloud/your-api-endpoint

如果CORS配置生效，响应头不会包含Access-Control-Allow-Origin: *，仅当请求Origin在允许列表中时，才会返回对应的允许头。

内容的提问来源于stack exchange，提问作者Marius Isoardi