已配置Access-Control-Allow-Origin仍出现CORS错误的求助

可能的原因及排查步骤 #

1. 检查CORSMiddleware的配置顺序 #

FastAPI的中间件顺序直接影响CORS头的生效，CORSMiddleware必须放在所有其他中间件之前，尤其是会拦截、修改响应头的中间件（比如认证、日志类）。错误的顺序会导致预检请求无法获取到正确的CORS头。

正确配置示例：

from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware

app = FastAPI()

# 优先配置CORS中间件
app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://my.example.com"],
    allow_credentials=True,
    allow_methods=["*"],
    allow_headers=["*"],
)

# 再添加其他中间件和路由逻辑
# ...你的业务代码...

2. 排查反向代理是否修改响应头 #

如果FastAPI服务前端有反向代理（如Nginx），代理可能会移除或覆盖Access-Control-Allow-Origin头。需要检查代理配置：

• 避免使用proxy_set_header Origin "";这类清空Origin请求头的配置
• 确保代理允许传递CORS相关响应头，比如Nginx的location块可添加：

proxy_pass http://localhost:8088;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
# 保留请求的Origin头
proxy_set_header Origin $http_origin;
# 确保CORS响应头正常传递
proxy_hide_header Access-Control-Allow-Origin;
add_header Access-Control-Allow-Origin $http_origin always;

3. 清除浏览器缓存的旧响应 #

浏览器可能缓存了之前错误的预检响应，导致服务器配置更新后依然报错。可以：

• 打开浏览器开发者工具（F12），在「网络」标签页勾选「禁用缓存」，重新发起请求
• 直接清除浏览器的缓存和Cookie后测试

4. 确认请求的凭证与自定义头配置 #

如果请求携带凭证（如withCredentials: true）或自定义头（如Authorization），需确保：

• CORSMiddleware的allow_credentials设为True
• allow_headers包含对应的自定义头（或设为["*"]）
• 注意当allow_credentials=True时，allow_origins不能用["*"]，必须指定具体源，且要和请求的源完全一致（比如末尾斜杠、大小写都要匹配）

5. 升级FastAPI依赖版本 #

部分旧版本的FastAPI或Starlette（FastAPI底层框架）存在CORS中间件的bug，尝试升级到最新稳定版：

pip install --upgrade fastapi uvicorn

6. 直接用Uvicorn启动测试 #

如果之前用Gunicorn+Uvicorn等方式启动服务，先尝试直接用Uvicorn启动，排除其他服务器的干扰：

uvicorn main:app --host 0.0.0.0 --port 8088

再用浏览器测试是否还报错

内容的提问来源于stack exchange，提问作者whitebear