Node环境下fetch如何设置HTTP请求的Origin头？附CORS测试场景

一、Fetch 如何决定 Origin 值？ #

Origin 头的生成逻辑完全取决于运行环境：

• 浏览器环境：
  • 正常页面中，Origin 由当前页面的**完整源（协议+域名+端口）**自动生成。比如你在 Stack Overflow 页面执行 fetch，页面源是 https://stackoverflow.com，请求就会自动带上 Origin: https://stackoverflow.com。
  • 空标签页（如 about:blank 或 data: 协议页面）属于无有效源的环境，此时 fetch 不会携带 Origin 头，且浏览器会直接拦截跨域请求并报错——这是浏览器的安全策略，不允许无来源页面发起跨域请求。
• 非浏览器环境（如 Node.js）：默认没有自动生成 Origin 头的逻辑，因为这类环境没有“当前页面源”的概念，也不存在浏览器的同源限制。

二、Node 环境下的 Fetch 规则 #

Node.js 中（包括 Node 18+ 内置的 fetch 或第三方库 node-fetch）：

• 默认情况下，fetch 请求不会自动携带 Origin 头。你在测试中只收到 404 响应，说明请求成功发送到了服务器，但目标路径不存在——因为服务器没有收到 Origin 头，不会触发 CORS 校验逻辑，直接返回了 404。
• 如果需要手动指定 Origin 头，可通过请求配置的 headers 字段添加：

  fetch('http://localhost:4544/test/404', {
    method: 'GET',
    headers: {
      'Origin': 'https://your-custom-origin.example'
    }
  })
  

三、Origin 头对 CORS 请求的影响 #

• 浏览器端：CORS 机制完全依赖 Origin 头：
  • 当请求是跨域的（请求目标源和当前页面源不一致），浏览器自动添加 Origin 头，服务器必须检查该值是否在允许列表中，返回匹配的 Access-Control-Allow-Origin 响应头，否则浏览器会拦截响应并抛出 CORS 错误。
  • 无 Origin 头的跨域请求（如空标签页发起的请求）会被浏览器直接阻止，根本不会发送到服务器。
• Node 端：不存在浏览器的 CORS 拦截机制，无论是否携带 Origin 头，服务器返回的响应都会被正常接收。即使手动添加 Origin 头，只要服务器处理逻辑允许，就能拿到完整响应。

内容的提问来源于stack exchange，提问作者Tyrannogyna