FastAPI中allow_origins设为通配符*时CORS配置失效问题

1. 确认CORS中间件的挂载顺序 #

FastAPI的中间件执行顺序由挂载顺序决定，CORS中间件必须最先挂载，否则可能被其他中间件拦截，导致响应头无法正常添加。

错误示例（CORS中间件后置）：

from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware
from fastapi.middleware.trustedhost import TrustedHostMiddleware

app = FastAPI()

# 错误：先挂载了其他中间件
app.add_middleware(TrustedHostMiddleware, allowed_hosts=["*"])
app.add_middleware(
    CORSMiddleware,
    allow_origins=["*"],
    allow_credentials=True,
    allow_methods=["*"],
    allow_headers=["*"],
)

正确示例（CORS中间件前置）：

from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware
from fastapi.middleware.trustedhost import TrustedHostMiddleware

app = FastAPI()

# 正确：优先挂载CORS中间件
app.add_middleware(
    CORSMiddleware,
    allow_origins=["*"],
    allow_credentials=True,
    allow_methods=["*"],
    allow_headers=["*"],
)
app.add_middleware(TrustedHostMiddleware, allowed_hosts=["*"])

2. 检查Redis缓存对响应头的处理 #

如果请求经过Redis缓存，需确保缓存层不剥离CORS相关响应头。多数缓存默认仅缓存响应体，会忽略动态生成的Access-Control-Allow-Origin等头，导致缓存返回的响应缺失关键CORS信息。

解决方式：

• 配置Redis缓存时，将Access-Control-Allow-Origin、Access-Control-Allow-Credentials等头加入缓存保留列表
• 对OPTIONS预检请求禁用缓存（浏览器发送的预检请求无需缓存）

3. Docker部署的反向代理配置校验 #

若Docker服务前有Nginx等反向代理，需确认代理正确传递Origin请求头，且未覆盖FastAPI返回的CORS响应头。

Nginx配置示例（关键项）：

location / {
    proxy_pass http://fastapi-service:8000;
    # 传递客户端Origin头到后端
    proxy_set_header Origin $http_origin;
    # 保留后端返回的CORS响应头
    proxy_pass_header Access-Control-Allow-Origin;
    proxy_pass_header Access-Control-Allow-Credentials;
}

4. 确认CORS中间件挂载在根应用实例 #

如果使用子路由或拆分应用，必须将CORS中间件挂载在根FastAPI实例上，而非子路由/子应用。

错误示例（挂载在子应用）：

from fastapi import FastAPI, APIRouter

app = FastAPI()
sub_app = APIRouter()

# 错误：CORS中间件加在了子路由上
sub_app.add_middleware(
    CORSMiddleware,
    allow_origins=["*"],
    allow_methods=["*"],
    allow_headers=["*"],
)

app.include_router(sub_app)

正确示例（挂载在根应用）：

from fastapi import FastAPI, APIRouter

app = FastAPI()
sub_app = APIRouter()

# 正确：CORS中间件加在根FastAPI实例
app.add_middleware(
    CORSMiddleware,
    allow_origins=["*"],
    allow_methods=["*"],
    allow_headers=["*"],
)

app.include_router(sub_app)

5. 直接测试OPTIONS请求 #

用curl发送OPTIONS请求，验证FastAPI是否返回CORS头：

curl -X OPTIONS -H "Origin: http://localhost:3000" -v http://your-fastapi-url/your-endpoint

• 若响应无Access-Control-Allow-Origin，说明FastAPI的CORS中间件未生效，回到步骤1检查挂载顺序
• 若响应包含该头，说明问题出在前端缓存或代理层

内容的提问来源于stack exchange，提问作者Anonyo Noor