FastAPI CORS中间件正则表达式配置失效问题求助

排查步骤与解决思路 #

1. 确保CORSMiddleware是第一个加载的中间件

FastAPI的中间件按添加顺序执行，如果CORSMiddleware被放在其他中间件（如认证、日志中间件）之后，可能会导致请求被提前拦截，CORS响应头无法正常添加。调整代码，把add_middleware(CORSMiddleware, ...)放在所有中间件配置的最前面。

2. 抓取真实请求的Origin头

打开浏览器开发者工具的Network面板，找到触发CORS错误的请求，查看Request Headers里的Origin字段，确认实际的预览域名格式是否和你预期的一致（比如是否存在端口、额外的子域名后缀等）。这一步能避免正则规则匹配错目标域名。

3. 验证正则匹配的实际生效情况

在后端添加一个测试接口，直接返回当前请求的Origin和正则匹配结果，帮助你确认规则是否生效：

from fastapi import Request

@app.get("/debug-cors")
async def debug_cors(request: Request):
    origin = request.headers.get("Origin")
    # 复用Starlette的正则编译逻辑
    from starlette.middleware.cors import _regex_compile
    cors_regex = _regex_compile(".*")  # 替换成你的正则规则
    is_match = bool(cors_regex.match(origin) if origin else False)
    return {
        "request_origin": origin,
        "regex_match_result": is_match,
        "current_allow_origin_regex": ".*"
    }

从Vercel预览域名访问这个接口，检查返回的regex_match_result是否为True，同时查看响应头中是否存在Access-Control-Allow-Origin。

4. 尝试单独使用allow_origin_regex

同时配置allow_origins和allow_origin_regex时，Starlette会优先检查allow_origins列表，若匹配失败才会尝试正则。可以暂时注释掉allow_origins参数，只保留allow_origin_regex=".*"，测试是否能解决CORS问题，排除参数优先级干扰。

5. 检查反向代理/部署环境的头传递

如果你的FastAPI后端部署在反向代理（如Nginx）或容器服务后，需要确保代理服务器正确传递了Origin请求头。例如Nginx配置中需要添加：

proxy_set_header Origin $http_origin;
proxy_pass_header Origin;

否则后端收到的Origin可能是空值或代理服务器的域名，导致正则匹配失败。

6. 升级FastAPI/Starlette版本

旧版本的CORSMiddleware可能存在正则匹配的bug，执行以下命令升级到最新稳定版：

pip install --upgrade fastapi starlette

7. 针对Vercel预览域名的精准正则规则

如果确认上述步骤都没问题，可以替换为更精准的正则，避免过度开放：
假设你的项目名为my-project-name，Vercel预览域名格式为<project-name>-<unique-hash>-<scope-slug>.vercel.app，可以使用：

allow_origin_regex=r"^https://my-project-name-[a-f0-9]+(-[a-z0-9-]+)?\.vercel\.app$"

这个规则会精确匹配：

• 以https://my-project-name-开头
• 后跟哈希字符串（小写字母+数字）
• 可选的scope后缀（如-team）
• 最终以.vercel.app结尾

关键注意事项 #

当allow_credentials=True时，Access-Control-Allow-Origin不能返回通配符*，但Starlette的CORSMiddleware在使用正则匹配时，会自动返回请求的具体Origin值，而非通配符，这符合CORS规范，无需额外处理。

内容的提问来源于stack exchange，提问作者DWaldie