配置CORS Headers后仍存在跨域问题，请求排查Rails项目配置错误

从你的配置和错误信息来看，核心问题出在预请求（OPTIONS）处理不当以及路由配置错误，直接导致浏览器的CORS检查失败。

1. 路由配置的核心错误 #

你在routes.rb里把post :authentication的请求方法绑定为via: :options，这完全搞反了逻辑：

post :authentication, to: "authentications#create", via: :options

这条路由意味着只有OPTIONS请求会被路由到authentications#create，而实际的POST请求会找不到对应路由。但浏览器发送跨域POST（非简单请求）时，会先发送OPTIONS预请求，再发送实际POST请求——现在你的配置既没正确处理OPTIONS，也没响应正常POST，自然触发CORS报错。

2. 预请求未返回必要的CORS头 #

浏览器的预请求（OPTIONS）要求服务器返回完整的CORS许可头（包括Access-Control-Allow-Origin、Access-Control-Allow-Methods等），但你只在create方法里设置了Access-Control-Allow-Origin，且这个方法还被错误绑定到了OPTIONS请求上，导致预请求的响应里根本没有这个头，这就是控制台报错的直接原因。

推荐解决方案：使用rack-cors gem（Rails官方推荐） #

手动处理CORS容易遗漏预请求等细节，用官方维护的gem更可靠：

1. 添加gem到Gemfile：

gem 'rack-cors'

执行bundle install完成安装。

2. 创建CORS初始化配置文件：
   在config/initializers/cors.rb中添加以下配置（可根据你的实际请求头调整）：

Rails.application.config.middleware.insert_before 0, Rack::Cors do
  allow do
    origins 'https://origin.com' # 指定允许的源站
    resource '/authentication',
      headers: :any,
      methods: [:post, :options], # 允许POST和OPTIONS方法
      expose_headers: ['Access-Control-Allow-Origin']
  end
end

3. 修正路由配置：
   把routes.rb里的错误路由改成正常的POST路由：

Rails.application.routes.draw do
  post :authentication, to: "authentications#create"
end

rack-cors会自动处理OPTIONS预请求，无需手动绑定路由。

若不想用gem，手动处理的方式： #

1. 修正路由，添加OPTIONS请求的处理路由：

Rails.application.routes.draw do
  post :authentication, to: "authentications#create"
  options :authentication, to: "authentications#options" # 单独处理OPTIONS预请求
end

2. 在控制器里添加OPTIONS处理方法：

class AuthenticationsController < ApplicationController
  def options
    response.headers['Access-Control-Allow-Origin'] = 'https://origin.com'
    response.headers['Access-Control-Allow-Methods'] = 'POST, OPTIONS'
    response.headers['Access-Control-Allow-Headers'] = 'Content-Type' # 根据你的实际请求头调整
    head :ok
  end

  def create
    response.headers['Access-Control-Allow-Origin'] = 'https://origin.com'
    # 你的业务逻辑代码
  end
end

这样就能确保预请求（OPTIONS）和实际POST请求都返回正确的CORS头，解决跨域问题。

内容的提问来源于stack exchange，提问作者batch