使用Let's Encrypt加密Express API时遇CORS及HTTP可访问异常

1. 偶发CORS问题修复 #

你当前的服务代码仅完成了HTTPS服务的启动，完全没有配置CORS相关规则，这是跨域报错的核心原因。偶发触发的原因是非简单请求（如带自定义请求头、Content-Type为application/json的POST/PUT请求）会先发送OPTIONS预检请求，未正确处理预检请求就会出现随机跨域报错的情况。

修复方式：

• 优先使用官方cors中间件简化配置，先执行安装：npm install cors
• 在./src/app的Express初始化代码中，所有路由注册之前添加CORS配置：

const cors = require('cors');
// 配置要替换为你前端的实际域名，不要使用*，否则带凭证的请求会失效
app.use(cors({
  origin: 'https://你的前端域名.com',
  credentials: true // 如果前端需要带cookie/认证头就开启
}));
// 单独处理OPTIONS预检请求，直接返回204
app.options('*', cors());

如果不想用第三方包，可以自己手写中间件设置Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers等响应头即可。

2. HTTP可访问8000端口问题排查 #

你当前的代码明确只启动了HTTPS服务监听8000，正常不可能响应HTTP请求，出现该问题的常见原因：

• 服务器上存在未关闭的旧HTTP版本服务进程，仍占用8000端口，执行命令netstat -tulpn | grep 8000即可查看当前8000端口的监听进程，杀掉多余进程即可。
• 检查./src/app文件中是否残留了app.listen(8000)之类的HTTP服务启动代码，和外层的HTTPS服务同时启动导致异常。
• 如果服务器前端配置了Nginx反向代理，检查是否有规则将HTTP请求转发到了8000端口。

3. 无SSL时POST请求失败原因 #

GET请求属于简单请求，不需要发送预检请求，而POST请求如果带application/json等非表单类型的Content-Type就属于非简单请求，需要先过预检，你没有配置CORS规则处理OPTIONS请求，就会出现POST直接失败的情况，和上文CORS问题是同一个根源。

方案优化建议 #

你当前的HTTPS服务创建逻辑本身没有问题，生产环境也可以正常运行，如果想要更稳定的部署方案，建议增加Nginx作为反向代理：

• HTTPS证书配置、HTTP跳转HTTPS等逻辑都交给Nginx处理，证书更新不需要重启Node服务
• Express只需要监听本地127.0.0.1的端口，不需要暴露到公网，安全性更高
• 可以配置静态资源缓存、负载均衡等额外能力，性能优于Node直接处理HTTPS请求。

内容的提问来源于stack exchange，提问作者Tex Evans