Express单路由CORS配置失效：POST预请求报错原因咨询

1. 全局OPTIONS请求的优先级冲突 #

你在全局配置了app.options("*", cors(corsConfig))，这条规则会优先匹配所有OPTIONS预请求，包括/api/v1/leads/:projectId的OPTIONS请求。这导致你在leadRouter.js里为该路径单独设置的宽松CORS配置根本不会被执行，服务器仍然返回仅允许process.env.FRONT_END的origin规则，直接触发跨域拦截。

2. 缺少自定义请求头的CORS许可 #

你的请求携带了authorization头，属于非简单请求，浏览器会发起preflight预请求，检查服务器返回的Access-Control-Allow-Headers是否包含这个头。而你当前的CORS配置（无论是全局还是路由内的）都没有明确声明允许authorization头，浏览器会因为预请求响应不满足要求而拒绝后续的POST请求。

步骤1：移除多余的全局OPTIONS配置 #

cors()中间件本身会自动处理所有路由的OPTIONS预请求，无需手动添加app.options("*", cors(corsConfig))，删除这条代码避免路由匹配冲突。

步骤2：配置完整的宽松CORS规则 #

在leadRouter.js中，为目标路由配置包含允许自定义头的完整CORS规则：

const cors = require("cors");
const express = require("express");
const router = express.Router();

// 定义开放的CORS配置，适配带authorization头的请求
const openCorsConfig = cors({
  origin: true, // 允许所有来源
  allowedHeaders: ["Authorization", "Content-Type"], // 明确允许authorization和Content-Type头
  credentials: true, // 若前端需要携带凭证（如Cookie）则保留，否则可删除
});

router.get("/", authController.protect, leadController.getLeads);
// 处理该路径的OPTIONS预请求
router.options("/:projectId", openCorsConfig);
// POST请求应用宽松CORS配置
router.post("/:projectId", openCorsConfig, leadController.createLead);

这样配置后，/api/v1/leads/:projectId的预请求会返回符合要求的CORS响应，允许任意来源和authorization头，同时其他路由仍保持原有CORS规则不变。

内容的提问来源于stack exchange，提问作者Zullu Balti