Node.js配置CORS后仍报No 'Access-Control-Allow-Origin'错误咨询

触发CORS报错的核心原因是后端自定义CORS中间件存在拼写错误、逻辑冲突、遗漏预检请求处理三个问题，前端代码无需额外配置，修复后端问题即可解决。

• 拼写错误：所有跨域响应头的前缀你都写错了，正确前缀是Access-Control-，你写的是Acces-Control-（少了第二个s），同时Access-Control-Allow-Headers你写成了单数形式Acces-Control-Allow-Header、Access-Control-Allow-Credentials你把Credentials首字母小写写成了credentials，拼错的头浏览器完全不会识别，自然判定没有返回合法的跨域许可。
• 逻辑冲突：当你设置Access-Control-Allow-Credentials: true允许携带凭证时，Access-Control-Allow-Origin不能设置为通配符*，必须明确指定允许的前端源地址，否则浏览器会直接拦截响应。
• 遗漏预检请求处理：跨域场景下浏览器会先发送OPTIONS方法的预检请求校验跨域权限，你当前的中间件没有直接响应OPTIONS请求，会把请求放行到后续的404处理逻辑，导致预检失败。

将你原有CORS中间件替换为如下代码即可，注意把allowedOrigin的值替换为你前端实际运行的源地址（比如本地用Live Server打开一般是http://127.0.0.1:5500，按实际情况改）：

// Cors
app.use((req, res, next) => {
  // 替换为前端实际访问地址
  const allowedOrigin = "http://localhost:5500";
  res.header("Access-Control-Allow-Credentials", "true");
  res.header("Access-Control-Allow-Origin", allowedOrigin);
  res.header(
    "Access-Control-Allow-Headers", 
    "Origin, X-Requested-With, Content-Type, Accept, Authorization, X-CSRF-Token"
  );
  res.header('Access-Control-Allow-Methods', "GET,OPTIONS, POST, DELETE, PUT, PATCH");

  // 直接响应OPTIONS预检请求，不进入后续路由逻辑
  if (req.method === "OPTIONS") {
    return res.sendStatus(200);
  }
  next();
})

你当前的前端请求代码不需要做任何修改，CORS校验是浏览器端的安全机制，只要后端返回符合规范的响应头，请求就能正常发送。如果不想手动维护CORS头，也可以直接安装cors依赖包完成配置，避免手动拼写出现错误。

内容的提问来源于stack exchange，提问作者Gabriel Edu