Express CORS中间件处理预检与普通请求 解决全局与路由策略冲突问题

问题原因 #

该冲突由 Express 中间件的执行顺序规则导致：包括 OPTIONS 预检请求在内的所有 HTTP 请求，都会按照中间件的注册顺序从上到下匹配，先命中的规则会优先执行，返回响应后就不会继续走后续的中间件逻辑，因此写在前面的 CORS 规则会覆盖后面的规则。

解决方案 #

方案1：调整注册顺序，优先注册特殊路由规则

把需要自定义 CORS 策略的路由配置放在全局 CORS 注册之前，更具体的路由规则会优先匹配生效：

// 先注册特殊路由的自定义 CORS 配置
router.options('/someroute', cors())
router.get('/someroute', cors(), someOtherMiddleware, async (req, res) => {
  // 业务逻辑
})

// 再注册全局 CORS 配置，覆盖其他所有路由
app.use(cors({ origin: 'https://example.com', credentials: true }))

方案2：全局动态 CORS 配置（更易维护）

无需分开注册多套 CORS 规则，直接在全局配置中通过判断函数动态返回对应策略：

app.use(cors({
  origin: (origin, callback) => {
    // 特殊路由自定义origin规则，示例为放行所有源
    if (req.path === '/someroute') {
      return callback(null, true)
    }
    // 其余路由走全局默认策略
    return callback(null, 'https://example.com')
  },
  credentials: (req, callback) => {
    // 特殊路由不需要凭证时可以单独关闭
    if (req.path === '/someroute') {
      return callback(null, false)
    }
    return callback(null, true)
  }
}))
// 无需额外单独配置 OPTIONS 路由，预检请求会自动匹配上述规则处理

方案3：全局放行所有OPTIONS请求

如果确实需要全局放行所有预检请求，在 OPTIONS 处理逻辑中直接返回响应，避免请求走到后续全局 CORS 逻辑：

// 全局处理所有OPTIONS预检请求，处理完成后直接返回
app.options('*', cors(), (req, res) => res.sendStatus(204))
// 后续全局CORS仅处理非OPTIONS的普通业务请求
app.use(cors({ origin: 'https://example.com', credentials: true }))

内容的提问来源于stack exchange，提问作者Glenn