NodeJS/React应用跨机器访问时JWT认证失败（Nginx配置问题）

看起来你遇到的核心问题是跨机器访问时客户端发送的X-Auth-Token请求头没有被正确传递到后端Node.js服务，结合你的Nginx配置和场景，我来拆解可能的原因和对应的解决方案：

1. 纠正Nginx配置：用proxy_set_header传递请求头（而不是proxy_pass_header） #

你当前配置里的proxy_pass_header X-Auth-Token是用来把后端响应中的X-Auth-Token头传递给客户端的，但你需要的是把客户端发送的X-Auth-Token请求头转发给后端服务。正确的做法是添加proxy_set_header X-Auth-Token $http_x_auth_token;，这样Nginx才会把客户端的请求头原样传递给Node.js API：

location / {
    proxy_pass https://xxx.xxx.x.xxx:3000;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header Host $http_host;
    # 新增：传递客户端发送的X-Auth-Token请求头到后端
    proxy_set_header X-Auth-Token $http_x_auth_token;
}

修改后记得重启Nginx生效：

sudo systemctl restart nginx

2. 排查CORS跨域问题（最可能的根因） #

因为你是跨机器访问，前端和API服务大概率存在跨域场景（比如前端在员工本地机器的浏览器，API在服务器公网IP），浏览器的同源策略会限制自定义请求头的发送，除非后端明确允许该头。

解决步骤： #

• 在你的Node.js API中配置CORS，允许X-Auth-Token请求头：
  如果你用的是cors npm包，修改配置如下：

  const cors = require('cors');
  app.use(cors({
    origin: true, // 或者指定允许的前端域名/IP列表，比如['http://rio-office.local', 'http://sp-office.local']
    allowedHeaders: ['Content-Type', 'X-Auth-Token'], // 明确允许X-Auth-Token头
    credentials: true // 如果你的认证逻辑同时用到Cookie，需要开启这个选项
  }));
  

• 验证前端请求：在浏览器开发者工具的「网络」面板中查看跨机器访问时的请求，确认X-Auth-Token是否被实际发送出去——如果浏览器提示跨域相关错误，优先解决CORS配置。

3. 检查Nginx的请求头过滤规则 #

有些Nginx配置可能会默认过滤掉非标准请求头，你可以检查配置文件中是否存在proxy_hide_header或者其他限制请求头的规则，如果有，需要移除对X-Auth-Token的限制。

4. 验证请求传递情况 #

可以在Node.js API中添加日志，打印所有收到的请求头，确认是否收到X-Auth-Token：

app.use((req, res, next) => {
  console.log('Received request headers:', req.headers);
  next();
});

重启API服务后，跨机器访问时查看服务日志：如果能看到x-auth-token字段，说明Nginx已经正确传递，问题可能出在认证逻辑；如果看不到，再回到Nginx和CORS配置排查。

内容的提问来源于stack exchange，提问作者Daniel Drummond