HTTPS部署的Node.js应用调用本地Express生成的HTTPS API请求无法到达目标

你遇到的请求失败是三个问题共同导致的：

• 跨域资源共享（CORS）规则不匹配：浏览器的同源策略默认拦截跨源请求，你最初的请求未配置CORS模式，API侧也没有对应放行规则，请求在浏览器预检阶段就被拦截，根本不会发送到目标API。
• 请求头缺失：POST请求传递JSON格式的请求体时，必须显式携带Content-Type: application/json请求头，否则express服务无法正确解析请求体，会返回错误响应。
• 自签名证书不受信任：浏览器默认不信任未被权威CA签发的自签名证书，即使你在https Agent中配置了rejectUnauthorized: false，该配置仅在Node.js服务端发起请求时生效，浏览器环境下仍会触发安全拦截。Postman能正常请求是因为Postman默认支持忽略自签名证书校验。

请求侧调整 #

正确的fetch配置如下：

fetch(url, {
    method: 'POST',
    headers: {'Content-Type': 'application/json'},
    mode: 'cors',
    body: JSON.stringify(requestBody),
    agent: httpsAgent,
    redirect: 'follow',
  })

注意必须显式指定Content-Type请求头，同时配置mode: 'cors'允许跨域请求。

API侧调整 #

1. 首先确保express开启了JSON请求体解析中间件，否则req.body会返回undefined：

app.use(express.json())

2. 配置CORS规则，两种方式可选：

方式一：使用cors库（推荐） #

直接配置全局CORS规则即可，不需要手动加响应头：

const cors = require('cors')
app.use(cors({
  origin: 'https://localhost:2200', // 允许的请求源
  methods: ['POST'], // 允许的请求方法
  allowedHeaders: ['Content-Type', 'Authorization'] // 允许的请求头
}))

方式二：手动添加响应头 #

在请求处理逻辑中添加以下响应头：

res.setHeader('Content-Type', 'application/json')
res.setHeader('Access-Control-Allow-Origin', 'https://localhost:2200')
res.setHeader('Access-Control-Allow-Methods', 'POST')
res.setHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization')

对于不对外公开的本地局域网API，可以使用mkcert工具生成受本地设备信任的有效证书，步骤如下：

• 安装mkcert工具到本地设备
• 执行mkcert -install将mkcert的根证书添加到系统和浏览器的信任列表
• 执行mkcert 192.168.112.34 localhost 127.0.0.1生成对应IP和本地域名的证书文件
• 将生成的公钥、私钥文件配置到express的HTTPS服务中即可，所有局域网内安装了mkcert根证书的设备都能正常访问该API，不会触发证书安全报错。

内容的提问来源于stack exchange，提问作者vgreg