Express.js中router.get()的CORS配置异常：POST正常GET失效

你的问题出在GET请求的CORS配置逻辑上，和POST请求的处理规则不一致，且存在逻辑漏洞：

核心问题 #

1. GET配置的拒绝逻辑无效：当请求Origin不在白名单时，你设置origin: false，这只会让cors中间件不添加Access-Control-Allow-Origin响应头，但不会主动拒绝请求（不像POST配置那样抛出错误）。对于GET这类简单请求，浏览器会直接发送请求，服务器会返回内容，你可能误以为“允许任意域名”，但实际上前端浏览器会拦截跨域响应并抛出错误——只是你可能没注意到前端的报错，或者用非浏览器工具（如Postman）测试时看不到浏览器的拦截行为。
2. 未处理无Origin头的情况：同域请求、部分测试工具发起的请求没有Origin头，此时req.header('Origin')为undefined，会触发origin: false的逻辑，导致不必要的CORS限制。
3. 配置逻辑不一致：POST和GET用两套规则，增加了出错概率。

修复方案 #

方案一：统一CORS配置（推荐） #

将POST和GET的CORS规则统一，避免逻辑分歧：

const allowedList = ["http://localhost:3000", "http://localhost:3001"];

const corsOptions = {
  origin: function (origin, callback) {
    // 允许无Origin头的请求（同域、测试工具），同时校验白名单
    if (!origin || allowedList.indexOf(origin) !== -1) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  }
};

router.post("/add-item", cors(corsOptions), addItem);
router.get("/get-item", cors(corsOptions), getItem);

方案二：单独处理GET请求（修正逻辑） #

如果必须单独配置GET请求，修正逻辑使其和POST保持一致的拒绝规则：

const allowedList = ["http://localhost:3000", "http://localhost:3001"];

const corsOptions = {
  origin: function (origin, callback) {
    if (!origin || allowedList.indexOf(origin) !== -1) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  }
};

const corsOptionsGet = function (req, callback) {
  const origin = req.get('Origin');
  if (!origin || allowedList.indexOf(origin) !== -1) {
    callback(null, { origin: true });
  } else {
    callback(new Error('Not allowed by CORS'));
  }
};

router.post("/add-item", cors(corsOptions), addItem);
router.get("/get-item", cors(corsOptionsGet), getItem);

修复说明 #

• 增加!origin判断，兼容无Origin头的合法请求；
• 统一错误抛出逻辑，服务器会直接返回错误响应，而非仅不添加响应头，更符合预期；
• 使用req.get('Origin')（Express官方推荐写法，和req.header功能一致）。

内容的提问来源于stack exchange，提问作者Noa