Node.js中Socket.io配置全来源跨域时出现CORS错误如何解决

触发报错的核心是CORS规范的硬性限制：

源为http://localhost的请求被CORS策略拦截：当请求的credentials模式为include时，响应头中Access-Control-Allow-Origin的值不能为通配符*。由XMLHttpRequest发起的请求的credentials模式由withCredentials属性控制。

你当前服务端配置同时设置了origin: '*'和credentials: true，两个配置本身存在规则冲突：只要请求开启了凭证携带模式，Access-Control-Allow-Origin就不允许使用通配符，必须返回与请求源完全匹配的具体值，否则浏览器会直接拦截响应。

根据你的业务需求（允许所有来源、支持无origin字段的客户端接入），选下面任意一种方案即可：

• 方案1：保留凭证支持，动态回写请求源
  把cors.origin从固定通配符改成动态函数，有请求源时原样回写，无origin时返回通配符，兼容所有客户端场景，修改后的服务端配置如下：

  const server = http.createServer(app); // app is express app
  const io = require('socket.io')(server,{
      allowEIO3: true,
      cors: {
          origin: (requestOrigin, callback) => {
              // 携带origin的请求原样回写，无origin的非浏览器客户端直接放行
              callback(null, requestOrigin || '*');
          },
          credentials: true
      },
  });
  

  这个配置下：
  • 浏览器端带origin的跨域请求，响应头会返回匹配的具体源地址，满足凭证请求的CORS校验规则
  • 不带origin的客户端（IoT设备、后端脚本、原生APP等），响应头返回*，不会触发CORS拦截
• 方案2：不需要跨域传递Cookie时关闭凭证配置
  如果你只是在query参数里传鉴权token，不需要跨域携带Cookie、HTTP认证头等凭证信息，直接把credentials设为false即可，这时候origin: '*'是完全符合CORS规范的，配置如下：

  const server = http.createServer(app); // app is express app
  const io = require('socket.io')(server,{
      allowEIO3: true,
      cors: {
          origin: '*',
          credentials: false
      },
  });
  

客户端代码里注释的手动添加Access-Control-Allow-Origin、Access-Control-Allow-Credentials请求头的代码全部删除，这两个字段是服务端返回的响应头，客户端手动添加没有任何作用，反而可能触发额外的预检请求校验失败。

内容的提问来源于stack exchange，提问作者alireza kargar