客户端调用Azure Durable函数管理API无法获取响应头，求解决方案

核心问题 #

浏览器的CORS安全策略默认仅允许客户端访问预定义的安全响应头集合（如Content-Type、Cache-Control）。Durable Functions管理API返回的分页用x-ms-continuation-token属于非标准响应头，若未通过服务器端配置明确允许暴露，浏览器会阻止客户端代码读取该头信息——这就是你无法获取token的根本原因，和Access-Control-Allow-Credentials、withCredentials的配置无关。

客户端可行的解决前提（需服务器配合） #

不需要直接用服务器代理，先完成Azure函数的CORS暴露头配置：

1. 登录Azure门户，进入你的Durable Function应用
2. 导航至API > CORS设置页
3. 在「允许的暴露头」区域，添加x-ms-continuation-token（若你的token在其他响应头中，替换为对应名称）
4. 保存配置

配置完成后，保持客户端请求的withCredentials设置，即可正常读取响应头。以JavaScript fetch为例：

fetch('https://your-function-app.azurewebsites.net/runtime/webhooks/durabletask/instances/{instanceId}/history', {
  credentials: 'include'
})
.then(res => {
  const token = res.headers.get('x-ms-continuation-token');
  // 此处可正常获取分页token
});

服务器端代理的适用场景 #

仅当上述CORS配置无法生效（比如特殊环境限制、API本身无法修改响应头）时，才需要搭建服务器端代理：

• 由代理服务直接调用Durable Functions管理API，再将响应内容和x-ms-continuation-token头一并转发给客户端
• 客户端与代理服务同源，规避浏览器CORS限制

内容的提问来源于stack exchange，提问作者ulu