Express中CORS配置无效求助：已尝试多种方案仍未解决

折腾24小时解决CORS确实头大，我看了你的代码，发现几个关键问题导致配置不生效，下面给你梳理修复方案：

问题分析 #

你的代码里同时尝试了手动设置CORS头和可能的cors包，但手动配置的逻辑有明显错误：

1. 在自定义中间件里用app.options('*', ...)是错误的——这会在每次请求进来时重复注册OPTIONS路由，导致逻辑混乱，而且OPTIONS请求的响应没有正确终止。
2. 如果同时混用cors包和手动设置头，会导致响应头冲突，反而让浏览器拒绝。

方案一：使用cors包（推荐，更简洁可靠） #

先确保你已经安装了cors：

npm install cors

然后修改server.js，用cors包全局配置，不要保留手动的CORS中间件：

const express = require('express')
const cors = require('cors')
const bodyParser = require('body-parser')
const mailer = require('./mailer') // 确保路径正确

const app = express()

// 先解析请求体
app.use(bodyParser.json())

// 全局配置CORS，覆盖所有路由
app.use(cors({
  origin: '*', // 开发环境允许所有来源，生产环境请替换为你的前端域名，比如'https://your-app.com'
  methods: ['GET', 'POST', 'PUT', 'PATCH', 'DELETE', 'OPTIONS'],
  allowedHeaders: ['Origin', 'X-Requested-With', 'Content-Type', 'Accept', 'Authorization']
}))

// 挂载邮件路由
app.use("/mailer", mailer)

// 启动服务器
const PORT = process.env.PORT || 3000
app.listen(PORT, () => {
  console.log(`Server running on port ${PORT}`)
})

mailer.js里不需要再单独加cors()，全局配置已经覆盖所有路由了。

方案二：手动配置CORS（适合理解原理） #

如果你不想用cors包，修复手动配置的逻辑，核心是在中间件里直接处理OPTIONS请求，而不是用app.options注册路由：

const express = require('express')
const bodyParser = require('body-parser')
const mailer = require('./mailer')

const app = express()

app.use(bodyParser.json())

app.use((req, res, next) => {
  // 设置允许的跨域来源
  res.header("Access-Control-Allow-Origin", "*")
  // 设置允许的请求头
  res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept, Authorization")

  // 专门处理OPTIONS预检请求
  if (req.method === 'OPTIONS') {
    // 设置允许的HTTP方法
    res.header('Access-Control-Allow-Methods', 'GET, PATCH, PUT, POST, DELETE, OPTIONS')
    // 直接返回200，终止请求链
    return res.status(200).send()
  }

  // 非OPTIONS请求，继续执行后续中间件/路由
  next()
})

app.use("/mailer", mailer)

const PORT = process.env.PORT || 3000
app.listen(PORT, () => {
  console.log(`Server running on port ${PORT}`)
})

额外注意事项 #

• 不要混用两种方式：要么用cors包，要么手动配置，同时用会导致响应头重复，浏览器可能报错。
• 生产环境安全建议：不要用origin: '*'，指定具体的前端域名，比如origin: 'https://your-frontend-domain.com'，避免恶意跨域请求。
• 检查请求头：如果前端发送了自定义头（比如Authorization），确保allowedHeaders里包含这些头，否则预检请求会失败。

内容的提问来源于stack exchange，提问作者AN DI LE