FastAPI POST请求凭证缺失、Cookie为空及CORS跨域问题求助

1. 修复CORS预检错误（核心问题） #

你的CORSMiddleware配置中allow_methods格式错误，导致OPTIONS预检请求不被允许：

• 错误写法：allow_methods=["GET, POST, PUT, DELETE"]（把所有方法打包成单个字符串）
• 正确写法：将每个HTTP方法作为独立字符串元素，同时必须包含OPTIONS（预检请求专属方法）：

app.add_middleware(
    CORSMiddleware,
    allow_origins=[os.getenv('ORIGIN') or "http://localhost:4200"],  # 兜底设置避免环境变量为空
    allow_credentials=True,
    allow_methods=["GET", "POST", "PUT", "DELETE", "OPTIONS"],
    allow_headers=["*"],
    expose_headers=["*"]
)

调试阶段可临时用allow_methods=["*"]快速验证，生产环境建议明确指定允许的方法。

2. 解决POST请求Cookie为空的问题 #

POST请求Cookie为空是CORS预检失败的连锁反应，修复CORS配置后浏览器才会在跨域请求中携带Cookie，额外检查以下两点：

• 确认os.getenv('ORIGIN')确实获取到http://localhost:4200，可临时硬编码allow_origins=["http://localhost:4200"]测试，排除环境变量未配置的问题。
• 调整中间件顺序：将CORSMiddleware放在所有自定义HTTP中间件最前面，确保它优先处理响应头，避免其他中间件提前返回响应导致CORS头未被添加：

# 先加载CORSMiddleware
app.add_middleware(...)

# 再加载自定义中间件
@app.middleware("http")
async def inspector(request: Request, call_next):
    print(f"{request.method} {request.url}")
    response = await call_next(request)
    return response

@app.middleware('http')
async def auth(request: Request, call_next):
    print(request.cookies)
    return await call_next(request)

3. 调试验证 #

• 打开浏览器开发者工具Network面板，查看POST请求的OPTIONS预检请求：确认响应头包含Access-Control-Allow-Origin: http://localhost:4200和Access-Control-Allow-Credentials: true。
• 查看实际POST请求的Request Headers，确认Cookie字段存在且内容正确。

内容的提问来源于stack exchange，提问作者Lee Skies