Express+Next.js生产环境CORS问题：Origin不被允许

问题根源 #

生产环境下Express返回的Access-Control-Allow-Origin是http://localhost:3000，说明你的Express服务部署后，process.env.NODE_ENV没有被正确设置为production，导致CORS规则还是沿用了开发环境的配置。

解决步骤 #

1. 配置部署平台的环境变量
   进入你的Express服务部署平台（比如Render）的后台，找到环境变量配置项，手动添加NODE_ENV=production，然后重启服务。多数平台默认不会自动设置该变量，必须手动配置。

2. 改用更可靠的CORS动态配置
   把原来固定值的origin改成函数式配置，直接匹配请求的实际来源，避免依赖环境变量出错：

   // Express端修改后的CORS配置
   const allowedOrigins = [
     'https://dev-markdown-client.vercel.app',
     'http://localhost:3000'
   ];
   
   app.use(cors({
     origin: (origin, callback) => {
       // 允许Postman这类无origin标识的请求
       if (!origin || allowedOrigins.includes(origin)) {
         callback(null, true);
       } else {
         callback(new Error('Not allowed by CORS'));
       }
     },
     credentials: true,
     optionsSuccessStatus: 200
   }));
   

   这种方式会直接校验请求来源是否在允许列表中，比依赖环境变量判断更稳妥。

3. 验证环境变量是否生效
   在Express服务启动代码中添加打印语句，确认生产环境的NODE_ENV值：

   console.log('当前运行环境:', process.env.NODE_ENV);
   

   部署后查看服务日志，如果显示production，说明环境变量配置正确。

内容的提问来源于stack exchange，提问作者daniel sas