使用Node.js适配器的Astro服务端端点请求头为空问题

我按照Astro Firebase教程搭建项目，npm run dev时服务端端点能正常读取Authorization请求头，但执行npm run build后通过node ./dist/server/entry.mjs启动服务器，服务端无法获取请求头，核心代码如下：

export const get: APIRoute = async ({ request, cookies, redirect }) => {
  /* Get token from header*/
  const idToken = request.headers.get("Authorization")?.split("Bearer ")[1];
  if (!idToken) { // idToken始终为null
    return new Response(
      "No token found",
      { status: 401 }
    );
  }
  // ... 后续Firebase验证及跳转逻辑
  return redirect("/dashboard");
};

使用最新版Astro，采用SSR Node.js（混合渲染）模式。已尝试：更换axios发送请求、切换Node.js 18/20版本、将token放入URL参数（服务端仅能读取纯URL，参数无法获取）。

解决思路 #

1. 补全Astro配置中的CORS规则 #

生产构建后的服务器默认可能缺少CORS配置，导致浏览器拦截自定义请求头。在astro.config.mjs中添加对应配置：

import { defineConfig } from 'astro/config';

export default defineConfig({
  output: 'server',
  server: {
    headers: {
      'Access-Control-Allow-Origin': '你的前端域名', // 生产环境禁止用*，需指定具体域名
      'Access-Control-Allow-Headers': 'Authorization, Content-Type',
      'Access-Control-Allow-Methods': 'GET, POST, OPTIONS'
    }
  },
  // 其他原有配置
});

2. 处理OPTIONS预检请求 #

跨域场景下浏览器会先发OPTIONS预检请求，若服务端未处理该请求，真实请求的头信息不会被发送。在端点中添加OPTIONS处理逻辑：

export const options: APIRoute = async () => {
  return new Response(null, {
    headers: {
      'Access-Control-Allow-Origin': '你的前端域名',
      'Access-Control-Allow-Headers': 'Authorization',
      'Access-Control-Allow-Methods': 'GET, OPTIONS'
    }
  });
};

export const get: APIRoute = async ({ request, cookies, redirect }) => {
  // 原有get请求逻辑
};

3. 排查请求头是否被代理拦截（若使用反向代理） #

如果后续部署使用Nginx等反向代理，需确保代理服务器转发Authorization头，示例Nginx配置：

location /api/ {
  proxy_set_header Authorization $http_authorization;
  proxy_pass http://localhost:3000;
}

若直接用node ./dist/server/entry.mjs启动，可跳过此步骤。

4. 用工具直接验证服务端接收能力 #

用curl或Postman直接发送请求，排除前端代码问题：

curl -H "Authorization: Bearer your-test-token" http://localhost:3000/api/auth

如果该请求能正常获取token，说明前端请求存在问题，检查是否在跨域请求中正确设置withCredentials: true（若需要携带凭证）。

5. 打印所有请求头排查差异 #

在端点中打印全部请求头，对比dev和生产模式的差异：

export const get: APIRoute = async ({ request }) => {
  console.log('所有请求头:', Object.fromEntries(request.headers.entries()));
  // 原有逻辑
};

启动生产服务器后查看控制台输出，确认Authorization头是否存在，再针对性处理。

内容的提问来源于stack exchange，提问作者Jakub Piga