指定Origin的Node.js后端为何允许命令行Fetch调用成功？

核心原因：CORS是浏览器专属的安全机制 #

CORS（跨源资源共享）规则只在浏览器环境中生效，它是浏览器为保护用户安全实现的同源策略限制。你用node-fetch写的脚本在VSCode终端（Node.js环境）运行，不属于浏览器环境，完全不受浏览器的CORS同源策略约束。

具体细节拆解 #

• 你的Express后端配置的cors({ origin: 'http://localhost:5001', credentials: true })，作用是告诉浏览器：仅允许来自http://localhost:5001的请求携带凭证并获取响应。
• 用node-fetch发起请求时，请求直接从Node.js进程发送到目标服务器，没有浏览器参与其中，所以目标服务器返回的响应不会被浏览器的CORS检查拦截，自然能正常拿到数据。
• 你的React前端运行在浏览器里，浏览器会自动检查请求的Origin是否在后端允许的列表里，不符合就触发跨域错误，这和node-fetch的运行环境本质不同。

补充说明 #

如果目标服务器本身没配置任何CORS限制，或者允许所有源，那不管是浏览器还是Node.js环境都能访问；但如果目标服务器配置了严格的CORS规则，浏览器会拦截不符合的请求，而Node.js环境的请求依然不受影响。

内容的提问来源于stack exchange，提问作者Nikster2014