部署在Heroku的Ktor应用存在CORS问题，本地环境正常

问题根因 #

你指定前端域名时CORS失效，主要是两个关键问题：

• allowHost用了带https://的完整URL，Ktor的这个配置项需要单独填写主机名和协议，不能直接传完整地址
• 未开启跨域凭证支持，登录请求通常携带Cookie或Authorization头，必须显式开启该权限

修正后的CORS配置代码 #

fun Application.configureHTTP() {
    install(CORS) {
        // 允许常用请求方法，补上登录必备的POST方法
        allowMethod(HttpMethod.Options)
        allowMethod(HttpMethod.Put)
        allowMethod(HttpMethod.Delete)
        allowMethod(HttpMethod.Get)
        allowMethod(HttpMethod.Patch)
        allowMethod(HttpMethod.Post)

        // 允许的请求头，清理了重复配置项
        allowHeader(HttpHeaders.Authorization)
        allowHeader("cart_session")
        allowHeader("MyCustomHeader")
        allowHeader(HttpHeaders.XRequestedWith)
        allowHeader("X-HTTP-Method-Override")
        allowHeader(HttpHeaders.ContentType)
        allowHeader(HttpHeaders.Accept)

        // 暴露给前端的响应头
        exposeHeader("cart_session")

        // 关键：允许跨域传递凭证（登录请求必备）
        allowCredentials = true

        // 正确配置允许的前端域名：主机名 + HTTPS协议
        allowHost(
            host = "yourclimbfrontend.herokuapp.com",
            schemes = listOf("https")
        )
        // 保留本地开发环境的允许规则，方便调试切换
        allowHost(
            host = "localhost",
            schemes = listOf("http")
        )
    }
}

重点修改说明 #

1. allowHost格式修正：
   把https://yourclimbfrontend.herokuapp.com拆分为主机名和schemes参数，Ktor会根据请求的协议和主机名精准匹配，避免因格式错误导致的CORS拦截。

2. 补充POST方法允许：
   登录请求几乎都是POST方法，你之前的配置未包含该方法，这会直接拦截登录请求。

3. 开启跨域凭证支持：
   添加allowCredentials = true，同时前端请求需配合开启凭证传递（Axios设置axios.defaults.withCredentials = true，Fetch添加credentials: 'include'参数），确保Cookie、Authorization头等凭证能正常跨域传输。

4. 清理冗余配置：
   删除了重复的请求头配置，以及无需在allowHeader中设置的Access-Control-Allow-Origin、Access-Control-Allow-Credentials（这类是后端返回的响应头，不需要在请求头允许列表中配置）。

额外检查项 #

• 前端是否正确开启跨域凭证传递，未开启的话即使后端配置正确也会报错
• 修改配置后需重新部署Heroku后端，确保新配置生效

内容的提问来源于stack exchange，提问作者Fprogramer