本地Node.js/Express客户端请求云端API报CORS错误如何解决

CORS是浏览器内置的同源安全策略，仅对浏览器环境下的前端请求生效。Postman属于独立客户端工具，不受同源策略约束，因此相同请求可以正常返回响应。你提交的$.ajax代码属于前端jQuery请求代码，会触发浏览器的CORS校验规则导致报错。

• 方案一：协调第三方API服务端配置CORS规则
  将你本地开发的域名（如http://localhost:3000）添加到第三方API的CORS允许Origin白名单中，同时放开POST请求、对应请求头的访问权限，这是最直接的解决方案，可适配开发和生产环境。
• 方案二：通过本地Node.js/Express服务做代理转发
  前端请求先发送到本地的Express服务，由服务端向第三方API发起请求后再将响应返回给前端，服务端发起HTTP请求不受CORS规则限制，可以完美规避校验问题。
  简单代理实现步骤：

1. 安装依赖：

npm install cors http-proxy-middleware

2. Express服务配置示例：

const express = require('express');
const { createProxyMiddleware } = require('http-proxy-middleware');
const cors = require('cors');
const app = express();

// 允许本地前端跨域访问本地代理服务
app.use(cors());

// 配置转发规则：所有/api前缀的请求转发到第三方API
app.use('/api', createProxyMiddleware({
  target: '替换为你的第三方API根地址',
  changeOrigin: true,
  pathRewrite: {
    '^/api': '' // 可选配置，若第三方接口不需要/api前缀可添加该规则去除
  }
}));

app.listen(3000, () => {
  console.log('本地代理服务已启动，运行端口：3000');
});

3. 修改前端请求地址，将原第三方API地址替换为http://localhost:3000/api/具体接口路径即可。

• 方案三：开发阶段临时禁用浏览器安全校验
  仅适合本地调试使用，不可用于生产环境。Windows系统可以给Chrome浏览器快捷方式的目标属性末尾添加--disable-web-security --user-data-dir="C:\ChromeDevTmp"；Mac系统执行终端命令open -n -a /Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --args --user-data-dir="/tmp/chrome_dev_tmp" --disable-web-security，启动后的浏览器不会校验CORS规则。

内容的提问来源于stack exchange，提问作者John doe