Postman调用Twitter API正常，fetch请求返回401错误求助

问题场景 #

正在进行Twitter OAuth认证的最后一步，调用access_token端点的代码如下：

let twitterUrl = `https://api.twitter.com/oauth/access_token?oauth_token=${oauth_token}&oauth_verifier=${oauth_verifier}`;

用fetch发起请求返回401错误，请求代码：

fetch(twitterUrl, {
  method: 'POST',
  mode:"no-cors",
}) 
.then(response => console.log(response))
.catch(error => console.error(error));

但相同请求在Postman中能正常运行，疑惑为何必须移到后端处理。

1. no-cors模式是核心问题 #

你开启了mode:"no-cors"，这会触发浏览器的跨域安全限制：

• 无法添加OAuth认证必需的请求头（比如包含应用密钥的Authorization头），而Twitter的access_token端点必须验证这些信息，缺少就会返回401未授权。
• 这种模式下的响应是不透明响应，你看不到具体的错误信息，只能知道请求失败。

2. OAuth流程的安全规则不允许前端发起请求 #

Twitter的OAuth 1.0a流程中，获取access_token需要用到应用的consumer key和consumer secret。如果在前端发起请求，这些密钥会直接暴露在浏览器的开发者工具里，任何人都能盗用你的应用权限。

Postman能成功是因为它是在本地环境发起请求，密钥不会被公开；而前端代码运行在用户浏览器中，完全没有保密能力。

为什么必须移到后端处理 #

把请求放在后端是唯一安全且合规的选择：

• 后端可以安全存储consumer key和secret，不会泄露给用户。
• 后端能正确构建OAuth认证所需的签名和请求头，满足Twitter的身份验证要求。

内容的提问来源于stack exchange，提问作者Spencer Cooley