React@17.x项目出现CORS问题是否与node、npm等依赖包版本有关？

核心结论 #

升级node、npm或者node_modules本身无法直接解决CORS问题。CORS是浏览器内置的同源策略限制，生产环境的CORS问题本质上只能通过API服务端配置Access-Control-Allow-*系列响应头解决，和前端框架版本、node环境版本没有直接关联。

传言的来源解释 #

部分场景下升级依赖后看起来CORS问题消失，本质是解决了本地开发代理的异常，不是真的修复了CORS：

• 如果你使用create-react-app这类脚手架做开发，本地开发阶段通常会用代理转发请求绕开同源限制，如果当前项目中react-scripts、http-proxy-middleware等代理相关依赖存在bug导致代理不生效，升级对应依赖后代理恢复正常，会造成“升级解决了CORS”的错觉。
• 仅极特殊的极端场景下，node版本过旧导致本地开发服务的代理功能运行异常，升级node后代理恢复，也会出现类似现象，但这种情况出现概率极低。

正确的CORS处理方案 #

• 开发阶段：可选择两种方案
  • 要求API服务端配置本地开发环境的CORS白名单
  • 配置本地开发代理：如果用CRA脚手架，直接在package.json中添加"proxy": "你的API服务根地址"即可，复杂路由规则可安装http-proxy-middleware单独配置
• 生产阶段：必须由服务端/网关层配置CORS响应头，或者将前端静态资源与API服务部署在同一域名下通过路径区分，前端侧没有可落地的根治方案。

内容的提问来源于stack exchange，提问作者MingYun Han