配置CORS禁止跨域的Express为何未拦截所有请求？

首先要明确：CORS是浏览器端的安全限制机制，服务器本身不会主动拦截跨域请求，只是通过响应头告知浏览器是否允许前端JS读取响应内容。curl作为命令行工具，不会校验CORS响应头，所以无论服务器如何配置，它都能获取到响应结果——这就是你看到路由触发并拿到JSON的核心原因。

你的origin: false配置，只会让服务器不返回Access-Control-Allow-Origin响应头，但不会阻止路由处理器执行。浏览器在收到这种响应后，会阻止前端代码读取响应，但服务器已经完成了请求处理流程。

修复步骤 #

1. 先修正代码语法错误

你的代码中有两处缺失括号的问题，会导致服务器无法正常启动：

// 补全路由定义的闭合括号
app.get('/',function(req,res) {
    res.json({a:10})
})

// 补全监听端口函数的闭合括号
app.listen(8080,function() {
    console.log("Express is listening on port 8080")
})

2. 让服务器主动拒绝跨域请求

如果需要服务器直接拒绝非同源请求（而非仅通过响应头告知浏览器），可以通过自定义CORS验证逻辑实现：

var corsOptions = {
    origin: function (origin, callback) {
        // 仅允许无Origin头的请求（如同源请求、curl直接请求）
        if (!origin) {
            callback(null, true);
        } else {
            // 拒绝所有带Origin头的跨域请求
            callback(new Error('跨域请求被禁止'));
        }
    },
    optionsSuccessStatus: 200
}

app.use(cors(corsOptions))

此时，当带有Origin头的请求到达时，cors中间件会直接返回错误，路由处理器不会被触发。

或者，你也可以添加前置中间件直接拦截跨域请求：

// 在cors中间件之前添加
app.use(function(req, res, next) {
    if (req.headers.origin) {
        // 检测到跨域请求，直接返回403禁止访问
        return res.status(403).send('跨域请求不被允许');
    }
    next();
});

app.use(cors(corsOptions));

关于curl测试的补充 #

你使用的curl命令中Host头设置有误，Host头应该是目标服务器的主机和端口（比如localhost:8080），而非请求的Origin地址。不过这个错误不影响CORS的测试逻辑，主要关注Origin头即可。

内容的提问来源于stack exchange，提问作者IlikedCPlusPlus