Express服务器接收外部POST请求出现403错误排查求助

我来帮你梳理下可能的问题点，结合你的配置来看，几个容易忽略的细节可能是关键：

1. CORS中间件调用方式错误 #

你当前的代码里写的是：

app.use(cors);

但实际上cors({ origin: true })返回的是一个中间件函数，你需要执行它才能让中间件生效，正确的写法应该是：

app.use(cors());

直接传cors的话，相当于把函数本身传入app.use，这个中间件根本没被启用，这可能是核心问题——虽然你手动加了CORS头，但可能和未生效的中间件产生冲突，或者处理逻辑不完整。

2. 重复的CORS配置导致响应头异常 #

你同时启用了cors中间件和手动设置CORS头的自定义中间件，这会导致响应头中出现重复的Access-Control-Allow-Origin字段。HTTP协议不允许同一个响应头重复出现，浏览器/外部服务会因为这个非法响应而拒绝接收结果。

建议二选一：要么完全依赖cors中间件（它会自动处理所有CORS逻辑，包括预检请求），要么删掉cors中间件，只用自定义的中间件。

3. OPTIONS预检请求未正确处理 #

外部服务发起POST请求前，通常会先发送OPTIONS预检请求确认权限。你的自定义中间件虽然设置了允许OPTIONS方法，但没有直接结束OPTIONS请求的响应——如果没有处理，请求会继续向后传递，可能导致超时或错误。

如果用自定义中间件，需要添加OPTIONS请求的处理逻辑：

app.use(function(req, res, next) {
  res.setHeader("Access-Control-Allow-Headers", "X-Requested-With,content-type, Accept,Authorization,Origin");
  res.setHeader("Access-Control-Allow-Origin", "*");
  res.setHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS, PUT, PATCH, DELETE");
  res.setHeader("Access-Control-Allow-Credentials", true);
  
  // 处理OPTIONS预检请求，直接返回200状态码
  if (req.method === 'OPTIONS') {
    return res.sendStatus(200);
  }
  next();
});

4. Nginx与Express的CORS头重复 #

你在Nginx也配置了Access-Control-Allow-Origin: *，这会和Express返回的头重复，同样导致响应不合法。应该只在一层配置CORS：要么在Express里处理，要么在Nginx里处理，不要同时设置。

修复后的参考配置 #

方案一：只用cors中间件（推荐） #

const cors = require("cors");
// 按需配置参数，生产环境建议指定具体origin而非true
app.use(cors({
  origin: true,
  allowedHeaders: ["X-Requested-With", "content-type", "Accept", "Authorization", "Origin"],
  methods: ["GET", "POST", "OPTIONS", "PUT", "PATCH", "DELETE"],
  credentials: true
}));

app.post('/example', (req, res) => {
  res.json({ status: 'OK' });
});

方案二：手动处理CORS（需处理OPTIONS） #

// 删掉cors相关代码，只用自定义中间件
app.use(function(req, res, next) {
  res.setHeader("Access-Control-Allow-Headers", "X-Requested-With,content-type, Accept,Authorization,Origin");
  res.setHeader("Access-Control-Allow-Origin", "*");
  res.setHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS, PUT, PATCH, DELETE");
  res.setHeader("Access-Control-Allow-Credentials", true);
  
  if (req.method === 'OPTIONS') {
    return res.sendStatus(200);
  }
  next();
});

app.post('/example', (req, res) => {
  res.json({ status: 'OK' });
});

额外提醒 #

如果外部服务的请求带有凭证（比如Cookie），Access-Control-Allow-Origin不能设为*，必须指定具体的请求域名，同时确保Access-Control-Allow-Credentials为true。

内容的提问来源于stack exchange，提问作者Alfredo Hinarejos