Express GET请求发送响应时出现ERR_HTTP_HEADERS_SENT错误

ERR_HTTP_HEADERS_SENT的核心触发原因是同一次HTTP请求被多次尝试返回响应，你之前尝试的加return、替换sendStatus的方案只解决了「单次回调逻辑分支重复发响应」的问题，但没解决代码里监听器重复触发的本质问题：

• firebaseAuth.onAuthStateChanged是常驻生命周期的监听器，不是一次性执行的查询方法，一旦注册就会持续监听认证状态变化，每次状态变更都会执行传入的回调
• 你把这个监听器注册逻辑写在了GET路由的处理函数里，每次请求打进来都会新增一个独立的监听器：第一次回调触发时正常给请求返回了响应，之后只要认证状态发生变化（比如token自动刷新、服务端侧用户登出/登入），之前注册的所有监听器都会再次执行，尝试给早就结束的HTTP请求再次发送响应，直接触发报错
• 这种写法还会造成内存泄漏，请求量越大，堆积的无效监听器越多，服务内存占用会持续上涨。

不要在请求处理逻辑里用常驻状态监听器做一次性鉴权判断，直接用Firebase Auth提供的同步属性拿当前用户，初始化阶段可以等待认证模块加载完成再判断，避免拿到空值：

// 替换原有的/checkAuth路由逻辑
app.get('/checkAuth', async (req, res) => {
  // 等待认证模块初始化完成，避免冷启动时拿不到用户状态
  await firebaseAuth.authStateReady(auth);
  const currentUser = auth.currentUser;
  if (currentUser) {
    return res.status(200).send("auth ok");
  }
  // 鉴权失败语义更推荐用401状态码，而非404
  return res.status(401).send("auth error");
});

• 如果你确实需要全局监听Firebase认证状态变化做日志、缓存更新之类的逻辑，把onAuthStateChanged的注册逻辑移到路由外面，服务启动时只注册一次即可，不要放在请求处理函数里重复注册
• 高版本Express已经内置了body-parser的JSON、urlencoded解析能力，你代码里单独引入body-parser包注册urlencoded解析属于重复依赖，可以删掉对应逻辑，直接用内置的express.urlencoded({extended: true})即可
• 跨域配置如果要带cookie认证信息，记得给cors配置credentials: true选项，避免前端带认证请求时被跨域策略拦截

内容的提问来源于stack exchange，提问作者medosem