为什么Express全局挂载的preflight预检请求处理中间件无法生效？

核心原因 #

你出现这个问题的本质是对Express Router的路径匹配规则理解有偏差，和app.use的中间件执行逻辑无关：

• 你写的app.use(preflightRouter)确实会让所有请求进入这个router中间件，但router内部定义的路由路径是和挂载前缀拼接后再匹配请求路径的。
• 你在preflightRouter里写的是router.options('/', ...)，当挂载前缀为空（也就是app.use(preflightRouter)）时，这个路由只会匹配OPTIONS /请求，而你发的预检请求是OPTIONS /post，自然匹配不到这个路由，也就不会返回CORS相关响应头，触发跨域错误。
• 当你改成app.use('/post', preflightRouter)时，router的挂载前缀变成了/post，此时router内的/会匹配/post路径，所以OPTIONS /post的预检请求就能命中路由，正确返回CORS头，运行正常。

正确的通用预检处理方案 #

如果要一个中间件处理所有路由的预检请求，不需要为每个路由单独挂载，修改preflightRouter的路由规则即可：

// /routes/preflight.js
const express=require('express');
const router=express.Router();

// 用*匹配所有路径的OPTIONS请求
router.options('*', (req, res)=>{
    res.setHeader("Access-Control-Allow-Origin","*")
    res.setHeader("Access-Control-Allow-Headers", "*");
    // 还可以按需加Access-Control-Allow-Methods等其他CORS头
    console.log('Preflight hit.')
    res.end();
})

module.exports=router;   

修改后直接用app.use(preflightRouter)挂载就可以对所有路由的预检请求生效，不需要单独指定路径。

额外优化建议 #

实际生产环境中你还可以把常规请求的CORS头也统一放到中间件里处理，不用每个路由单独写Access-Control-Allow-Origin，示例如下：

app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', '*');
  res.header('Access-Control-Allow-Headers', '*');
  // 预检请求直接返回
  if (req.method === 'OPTIONS') {
    return res.end();
  }
  next();
})

这样连单独的preflightRouter都可以省去，逻辑更简洁。

内容的提问来源于stack exchange，提问作者chiefVincent