部署到cPanel后Node.js代理CoinGecko API出现跨域错误求助

问题现象 #

• 开发模式下项目运行正常，部署到cPanel生产环境后，数据库请求无异常，但通过Node.js代理调用第三方CoinGecko API时，浏览器抛出No 'Access-Control-Allow-Origin' header is present on the requested resource跨域错误
• 直接在Angular前端调用CoinGecko API可正常运行，但此方案存在安全风险（暴露API调用逻辑，易被恶意利用）
• 怀疑免费版CoinGecko API对生产环境调用有限制，但暂未确认

相关代码 #

app.js（Node.js服务配置） #

const express = require('express')
const cors = require('cors');
// require('./sqlConnect');
const signup = require('./services/signup');
const login = require('./services/login');
const crypto = require('./services/crypto');
const portfolio = require('./services/portfolio');
const googleSignUp = require('./services/googleSignUp');
const session = require('express-session');


const app = express();

// const unGuards = [
//     '/login',
//     '/logout',
//     '/signup',
// ];

app.use(session({
    secret: 'my-secret',
    name: 'mySession',
    resave: false,
    saveUninitialized: false,
}));

app.use(cors({
    origin: true,
    methods: 'GET,PUT,POST,DELETE,OPTIONS',
    credentials: true,
    allowedHeaders: 'Content-Type, Accept',
}));

app.use(express.json());

app.listen(3000, () => {
    console.log(process.env.NODE_ENV)
    console.log('listening on 3000');
});

app.get('/', (req, res) => {
    res.send("Hello Worldi");
});

app.get('/users/:userId', (req, res) => {
    res.send({
        params: req.params,
        query: req.query,
    });
});


function authGurd(req, res, next) {
    if (req.session.user) {
        next();
    } else {
        res.sendStatus(401);
    }
}

app.get('/crypto', authGurd, crypto.getCrypto); 
app.put('/crypto/:id/:coinsAmount', authGurd, crypto.getCoin); 
app.get('/cryptos/:userName', authGurd, crypto.getCryptos); 
app.get('/removeCoin/:tableNameToRemove/:idToRemove', authGurd, crypto.removeCoin); 
app.get('/cryptosPicture/:coinName', authGurd, crypto.cryptosPicture); 
app.get('/createTable/:userName', authGurd, crypto.createTable); 

app.post('/googleSignUp', googleSignUp.GoogleSignUp);
app.post('/googleSignUp', googleSignUp.googleLogIn);

app.get('/login', login.getLoginStatus);
app.get('/logout', login.logout);
app.post('/signup', signup.signup);
app.post('/login', login.login);

Node.js代理请求代码 #

exports.showMeThePicture = function (req, res) {

  const options = {
    method: 'GET',
    url: `https://api.coingecko.com/api/v3/search?query=${req.body[0]}`,
    headers: {
      'Access-Control-Allow-Origin': '*'
    }
  };
  
  axios.request(options).then(function (response) {
    res.send(response.data);
  }).catch(function (error) {
    console.error(error);
  });
}

排查与解决方案 #

1. 修正CORS配置 #

当前cors中间件使用origin: true，会自动适配请求的Origin，但生产环境中cPanel的域名可能未被正确识别，建议明确指定前端生产域名，避免动态匹配的不确定性：

app.use(cors({
  origin: ['https://你的前端生产域名.com'], // 替换为实际前端域名
  methods: 'GET,PUT,POST,DELETE,OPTIONS',
  credentials: true,
  allowedHeaders: 'Content-Type, Accept',
}));

注意：当credentials: true时，origin不能设为*，必须指定具体域名，否则浏览器会拒绝接收响应。

2. 修复代理请求的错误逻辑 #

• 无效请求头：给CoinGecko API发送Access-Control-Allow-Origin: *完全没用，跨域校验是浏览器对你的Node.js服务返回的响应头做检查，这个头应该由你的Node.js服务返回给前端（cors中间件已经处理），不需要发送给第三方API。
• GET请求错误使用req.body：GET请求没有请求体，req.body[0]会是undefined，导致请求URL异常（query=undefined），进而引发API错误响应，间接导致跨域问题。应改用路由参数或URL查询参数传递值：

// 对应路由 /cryptosPicture/:coinName，从路由参数获取coinName
exports.cryptosPicture = function (req, res) {
  const coinName = req.params.coinName;
  const options = {
    method: 'GET',
    url: `https://api.coingecko.com/api/v3/search?query=${coinName}`
    // 移除无用的Access-Control-Allow-Origin头
  };
  
  axios.request(options).then(function (response) {
    res.send(response.data);
  }).catch(function (error) {
    console.error(error);
    // 错误时也要返回合法响应，确保cors头正常带上
    res.status(error.response?.status || 500).send(error.message || '请求失败');
  });
}

3. 检查cPanel环境的端口与代理配置 #

cPanel通常不允许直接访问3000端口，需通过cPanel的反向代理设置（比如将子域名或特定路径映射到Node.js服务的3000端口）。确保前端在生产环境中请求的是正确的服务地址（如https://你的域名.com/api/cryptosPicture/bitcoin，而非http://你的域名.com:3000/cryptosPicture/bitcoin）。

4. 验证CoinGecko API限制 #

免费版CoinGecko API有请求频率限制（每分钟10-30次），可查看Node.js服务的错误日志，确认是否有429状态码的错误。如果是频率限制，可添加请求缓存或升级API套餐。

内容的提问来源于stack exchange，提问作者Mosh