CORS策略阻止API请求求助：Authorization头未获允许

你的核心问题是前端直接向Themealdb发起请求时，携带了Authorization请求头，但Themealdb的服务器未在CORS响应中允许这个头，导致浏览器拦截请求。Postman能正常请求是因为它不受浏览器CORS策略限制。

为什么你的后端CORS配置没用？ #

你当前的后端CORS配置是针对http://localhost:8000的请求，但你的API请求是直接从localhost:3000发往https://www.themealdb.com，完全没经过你的后端，所以后端的CORS规则根本不会生效。

两种可行解决方案 #

方案1：移除不必要的Authorization头 #

Themealdb的免费API不需要授权验证，你可能是误在请求中添加了这个头。检查你的Axios/fetch代码，去掉Authorization请求头即可。

示例（Axios）：

// 错误写法（带Authorization头）
axios.get('https://www.themealdb.com/api/json/v1/1/search.php?f=a', {
  headers: {
    'Authorization': 'xxx' // 删掉这行
  }
})

// 正确写法
axios.get('https://www.themealdb.com/api/json/v1/1/search.php?f=a')

方案2：用你的后端做请求代理 #

如果因为某些原因必须保留请求头（虽然Themealdb不需要），或者后续需要处理其他有CORS限制的API，建议用你的Express后端做代理：

1. 安装http-proxy-middleware：

npm install http-proxy-middleware

2. 在你的后端代码中添加代理配置：

const express = require('express');
require('./database');
const userRoutes = require('./userRoutes');
const cors = require('cors');
const { createProxyMiddleware } = require('http-proxy-middleware');

const app = express();

// 配置CORS（允许前端localhost:3000访问）
app.use(cors({
  origin: 'http://localhost:3000',
  allowedHeaders: ['Authorization', 'Content-Type']
}));

// 添加Themealdb代理路由
app.use('/api/themealdb', createProxyMiddleware({
  target: 'https://www.themealdb.com/api/json/v1/1',
  changeOrigin: true,
  pathRewrite: {
    '^/api/themealdb': '' // 去掉前缀，转发到目标API
  }
}));

app.use(express.urlencoded({ extended: true }));
app.use(express.json());
app.use(userRoutes);

app.listen(8000, () => {
  console.log('Server running on port 8000.');
});

3. 前端修改请求地址，改为请求你的后端：

axios.get('http://localhost:8000/api/themealdb/search.php?f=a')

这样浏览器只和你的后端交互，CORS规则由你的后端控制，而后端请求Themealdb不受浏览器CORS限制，完美解决问题。

关于你提到的“直接用app.use(cors())破坏登录”的问题 #

如果直接全局启用CORS导致登录异常，可能是登录相关的接口需要更严格的CORS规则（比如限制特定origin、允许特定头）。可以针对登录路由单独配置CORS，或者调整全局CORS的credentials选项：

app.use(cors({
  origin: 'http://localhost:3000', // 只允许前端域名访问
  credentials: true, // 允许携带Cookie等凭证
  allowedHeaders: ['Authorization', 'Content-Type']
}));

内容的提问来源于stack exchange，提问作者Salim Farhat