Hapi Node服务器POST请求CORS报错，GET请求正常求助

问题核心分析 #

你遇到的问题是POST请求触发的OPTIONS预检请求未返回正确的CORS响应头，而GET请求属于简单请求无需预检，因此能正常运行。你的现有配置存在几个关键错误：

• 把请求方法（GET, POST...）错误放到了headers数组中，这应该是methods字段的配置内容
• 客户端Axios里设置Access-Control-Allow-Origin完全无效，这个响应头只能由服务器返回，客户端不能主动发送
• 冗余的Access-Control-Allow-*写法在Hapi的CORS配置中无法被正确解析

正确的Hapi服务器配置 #

1. 全局CORS配置（适配Hapi v17+，对应Node14推荐版本）

注意：Hapi v17+已废弃server.connection()，改用server.listen()，旧API可能导致配置不生效：

const Hapi = require('@hapi/hapi');

const init = async () => {
  const server = Hapi.server({
    port: 3000,
    host: 'localhost',
    routes: {
      cors: {
        origin: ['*'], // 开发环境允许所有来源，生产环境建议指定具体域名
        methods: ['GET', 'POST', 'OPTIONS', 'PUT', 'PATCH', 'DELETE'], // 明确允许的请求方法
        headers: ['Authorization', 'Content-Type', 'Accept'], // 允许的请求头
        credentials: true // 若需携带Cookie/凭证则设为true，无需可删除
      }
    }
  });

  // 你的POST路由定义
  server.route({
    method: 'POST',
    path: '/getDownloadUrl',
    handler: (request, h) => {
      // 业务处理逻辑
      return h.response({ url: 'your-download-url' }).code(200);
    }
  });

  await server.start();
  console.log('Server running on %s', server.info.uri);
};

process.on('unhandledRejection', (err) => {
  console.log(err);
  process.exit(1);
});

init();

2. 路由级单独配置（若全局配置不生效，可为特定路由单独设置）

server.route({
  method: 'POST',
  path: '/getDownloadUrl',
  options: {
    cors: {
      origin: ['*'],
      methods: ['POST', 'OPTIONS'],
      headers: ['Content-Type', 'Accept']
    }
  },
  handler: (request, h) => {
    // 业务处理逻辑
    return h.response({ url: 'your-download-url' });
  }
});

客户端Axios修正配置 #

删除无效的Access-Control-Allow-Origin头，保留必要配置即可：

const api = axios.create({
  baseURL: 'http://localhost:3000',
  headers: {
    'Content-Type': 'application/json',
  },
  // 若服务器允许携带凭证则添加此行，否则删除
  withCredentials: true
});

额外排查点 #

• 检查Hapi版本：确保使用与Node14兼容的版本（推荐@hapi/hapi@18.x及以上），旧版本可能存在CORS处理bug
• 验证OPTIONS请求响应：打开浏览器Network面板，查看OPTIONS请求的响应头，确认是否包含Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers三个关键头
• 避免冗余自定义头：若请求中携带未在服务器配置里明确允许的自定义头，会触发预检请求失败

内容的提问来源于stack exchange，提问作者Joshua Ohana