Express服务端已设OWASP安全头但浏览器不显示、API请求被拒如何解决

• 预检请求未配置响应头
  跨域请求下浏览器会先发送OPTIONS类型的预检请求，如果你仅给GET/POST等业务请求配置了安全头，未给OPTIONS请求添加相同的头配置，浏览器会判定对应响应缺少要求的安全头，直接拦截后续实际请求。可统一给所有请求类型加头，或单独配置OPTIONS请求的响应头。
• 中间层覆盖/移除了响应头
  如果express服务前有Nginx、CDN、云服务商网关等反向代理层，这类中间层可能会默认移除部分安全头，或用自身的头配置覆盖express返回的头。可直接用curl -v 本地express服务地址+接口路径调用测试，如果本地直接调用能返回目标头，走域名/代理后丢失，即可定位为中间层配置问题。
• 头设置时机错误
  express中必须在res.send()、res.json()、res.end()等发送响应的方法执行前设置响应头，响应发送完成后再设置头不会生效。如果你是在设置头之后打印日志，但是实际代码顺序中设置头的逻辑在发送响应之后，就会出现服务端日志显示已设置、实际响应无对应头的情况。
• 中间件匹配范围错误
  webpack devServer的头配置默认作用于所有它返回的响应，而express中如果你的头设置中间件放在路由定义之后，或者仅匹配了部分路径（比如仅匹配静态资源路径），未覆盖你调用的API路由，对应请求的响应就不会带上目标头。建议将头设置中间件放在所有路由、其他中间件的最前面，全局生效：

  app.use((req, res, next) => {
    res.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains')
    res.set('X-Content-Type-Options', 'nosniff')
    res.set('Content-Security-Policy', "default-src 'self'")
    res.set('Referrer-Policy', 'strict-origin-when-cross-origin')
    next()
  })
  

• CSP规则拦截请求
  如果Content-Security-Policy的规则未允许你调用的目标API域名，浏览器会直接拦截请求，报错表现也可能和头缺失类似。可先将头名改为Content-Security-Policy-Report-Only开启仅上报不拦截模式，先确认头能被浏览器正常识别，再逐步调整CSP规则。

内容的提问来源于stack exchange，提问作者Justin Meskan