CORS策略仅在部分网络生效问题求助

排查方向 #

• 验证网络设备是否篡改响应头
  在办公环境用命令行直接调用API，查看响应头是否包含Access-Control-Allow-Origin：

  curl -I https://exemple.com/postRequest
  

  对比家里网络的返回结果，如果办公环境的响应头缺失该字段，说明公司防火墙、代理等中间设备拦截并修改了响应头。

• 确认API域名解析正确性
  办公网络可能存在内部DNS，导致请求指向错误服务器。执行以下命令对比办公与家用网络的解析结果：

  nslookup exemple.com
  

  如果解析IP不一致，说明内部DNS配置问题。

• 检查HTTPS中间人攻击（MITM）情况
  部分公司会部署SSL解密设备，篡改HTTPS证书，可能导致CORS响应头丢失。在浏览器开发者工具的Network面板查看请求的响应头，或检查证书是否由公司根证书签发。

• 核查CORS中间件配置有效性
  确保app.use(cors())在所有路由之前加载，没有路由单独设置响应头覆盖CORS配置。比如检查POST路由是否手动设置了Access-Control-Allow-Origin，导致中间件的全局配置失效。

解决方案 #

• 网络设备拦截问题：联系公司IT部门，将API域名加入白名单，允许传递CORS相关响应头。
• DNS解析问题：临时在React应用中硬编码API服务器IP测试，或请求IT调整内部DNS解析规则。
• MITM证书问题：请求IT将API域名加入SSL解密例外列表，避免证书篡改导致的头信息丢失。
• 反向代理绕过CORS：利用Vercel的重写配置，将前端请求转发到API域名，实现同域请求。在vercel.json中添加：

  {
    "rewrites": [
      {
        "source": "/api/:path*",
        "destination": "https://exemple.com/:path*"
      }
    ]
  }
  

  前端请求改为/api/postRequest，通过Vercel代理规避跨域限制。

内容的提问来源于stack exchange，提问作者Lucas