Nest.js为健康检查路由禁用CORS失效问题求助

问题根源分析 #

1. 全局CORS覆盖模块配置：你在main.ts中调用了app.enableCors()，这会在Express层面全局注册CORS中间件，优先级高于AppModule中通过MiddlewareConsumer配置的中间件，导致模块内的CORS规则完全不生效。
2. 中间件未绑定路由：你的AppModule中配置了CORS中间件，但缺少.forRoutes()调用，中间件没有被绑定到任何路由上，所以自然不会执行（这也是看不到Exec check日志的直接原因）。

方案一：通过MiddlewareConsumer精确控制路由（推荐） #

步骤1：移除全局CORS配置

修改main.ts，删除app.enableCors()这一行：

const server: express.Application = express();
server.use(compression());// enables gzip encoding

const app = await NestFactory.create(AppModule, new ExpressAdapter(server), {
   logger: logger
});
// 移除此行：app.enableCors();

步骤2：完善模块内中间件配置

在AppModule的configure方法中，添加.forRoutes('*')将CORS中间件绑定到所有路由，同时排除健康检查路由：

import { MiddlewareConsumer, Module, RequestMethod } from '@nestjs/common';
import cors from 'cors';

@Module({
    /* 你的原有模块配置 */
})
export class AppModule {
   configure(consumer: MiddlewareConsumer) {
      console.log('yes executed app configure')
      consumer
         .apply(cors({
            origin: (requestOrigin: string, callback: (err: Error, origin?: boolean) => void) => {
               console.log("Exec check");
               // 这里可添加你的自定义CORS校验逻辑（如白名单）
               callback(null, true);
            }
         }))
         .exclude({ path: '/api/health', method: RequestMethod.GET })
         .forRoutes('*'); // 关键：将中间件绑定到所有路由
   }
}

方案二：全局CORS配置中按路由区分处理 #

如果不想移除全局CORS配置，可在app.enableCors()的配置中，通过请求路径判断是否为健康检查路由，单独处理：

app.enableCors({
  origin: (requestOrigin: string, callback: (err: Error, origin?: boolean) => void) => {
    // 获取当前请求的路径
    const req = arguments[2]; // cors包的origin函数第三个参数为请求对象
    if (req.url === '/api/health') {
      // 健康检查路由直接允许所有来源
      callback(null, true);
      return;
    }
    // 其他路由执行你的自定义CORS校验逻辑
    console.log("Exec check for non-health route");
    callback(null, true);
  }
});

内容的提问来源于stack exchange，提问作者TomFree