DreamHost部署Express.js API遭遇CORS跨域问题求助

问题详情 #

我在DreamHost上部署了Express.js开发的API，跨域访问时触发CORS错误：

has been blocked by CORS policy: Response to preflight request doesn't pass access control check: Redirect is not allowed for a preflight request.

已经尝试启用cors中间件、修改.htaccess配置，但均无效，且API响应头中无Access-Control-Allow-Origin相关字段。

相关代码 #

Express应用代码

const express = require('express');
const homeRouter= require('./routes/home.js');
const pmonboardingRouter= require('./routes/pmonboarding.js');
const resourceRouter= require('./routes/resource.js');
const userRouter= require('./routes/user.js');
const cors =require('cors');
// import helmet from 'helmet';

const app = express();

// app.use(helmet());

const port= process.env.SERVER_PORT || 3001;

app.use(express.json());
app.use(express.urlencoded({extended:true}))
app.use(cors({ origin: true }));

app.use('/resources',resourceRouter);
app.use('/pmonboarding',pmonboardingRouter);
app.use('/user',userRouter);
app.use('/',homeRouter);

.htaccess文件代码

Header add Access-Control-Allow-Origin: "*"
Header add Access-Control-Allow-Methods: "GET,POST,OPTIONS,DELETE,PUT"
Header add Access-Control-Allow-Headers: "Content-Type"

前端访问代码

fetch('<My api Domain>', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
    },
    body: JSON.stringify(data)
})

错误截图

解决方案 #

1. 优先解决预检请求被重定向问题 #

错误核心是OPTIONS预检请求被服务器重定向，这是DreamHost环境的常见问题——比如域名配置了www/非www跳转、HTTP强制转HTTPS，而OPTIONS请求在重定向过程中丢失了CORS头。

• 检查DreamHost面板的域名重定向设置：确认API域名没有强制跳转规则，若必须保留跳转，需在.htaccess中让OPTIONS请求跳过重定向：

# 让OPTIONS请求直接返回200，不参与重定向
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

2. 调整Express的CORS中间件配置 #

确保中间件在所有路由前加载，同时明确配置必要参数：

// 替换原有的cors配置
app.use(cors({
  origin: true, // 允许所有来源，也可指定具体域名如"https://your-frontend.com"
  credentials: true, // 支持携带Cookie等凭证（如果需要）
  optionsSuccessStatus: 200 // 兼容IE等旧浏览器
}));

注意：不要在路由处理函数中手动设置Access-Control-Allow-Origin，避免与中间件冲突。

3. 修复.htaccess的CORS配置 #

将原有的Header add改为Header always set，确保所有响应（包括错误响应）都携带CORS头，同时补充OPTIONS请求的专属配置：

# 先处理OPTIONS预检请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

# 全局设置CORS头
Header always set Access-Control-Allow-Origin "*"
Header always set Access-Control-Allow-Methods "GET,POST,OPTIONS,DELETE,PUT"
Header always set Access-Control-Allow-Headers "Content-Type,Authorization"
Header always set Access-Control-Max-Age "86400" // 缓存预检结果24小时

# OPTIONS请求无需返回实体内容
<IfModule mod_headers.c>
  Header unset Content-Length
</IfModule>

4. 验证配置是否生效 #

用curl发送OPTIONS请求测试：

curl -X OPTIONS -H "Origin: https://你的前端域名.com" -I https://你的API域名.com

检查响应头中是否存在Access-Control-Allow-Origin等字段，存在则说明配置生效。

5. 排查Express部署问题 #

• 确认DreamHost上的Node.js版本符合要求（cors中间件需要Node.js v6+）
• 若使用Passenger部署，需在项目根目录添加passenger.json指定启动文件：

{
  "app_start_command": "node app.js"
}

• 检查应用是否监听了正确的端口，DreamHost的Node应用需绑定到面板指定的端口，或使用环境变量获取端口。

内容的提问来源于stack exchange，提问作者Chaosdestined