Express运行报错Cannot set headers after they are sent to the client如何解决

错误本质说明 #

[ERR_HTTP_HEADERS_SENT] 错误核心原因是同一个请求流程中，服务端多次向客户端发送了响应操作（包括设置响应头、返回响应体、调用end结束响应等）。

错误成因 #

• 异步执行顺序混乱：jwt.verify 使用回调写法属于异步操作，回调内部逻辑会晚于外部的SQL查询代码执行。会出现两类异常：1. JWT校验失败时回调内已经返回403响应，外部的SQL查询、后续响应逻辑还会继续执行，触发重复发响应；2. SQL查询执行时JWT校验还未完成，userId 变量未赋值，导致SQL执行报错触发next(e)走错误处理逻辑，再次发送响应。
• forEach循环return不生效：在forEach方法中调用return只会中断当前次循环迭代，不会终止整个控制器函数的执行。即便匹配到了processing状态的记录、重名项目，返回响应后后续代码依然会继续执行，导致重复发响应。
• JWT异常分支缺少终止逻辑：jwt.verify回调的错误分支中，发送403响应后没有加return，回调内后续逻辑还会继续执行，存在额外风险。

修复方案 #

• 替换JWT校验的异步回调写法为同步写法，适配async函数的执行逻辑，保证JWT校验完成后再执行后续代码，所有校验失败的场景直接return终止函数执行。
• 把遍历判断逻辑从forEach替换为数组判断方法，先确认是否符合返回条件再统一返回，保证return可以终止整个控制器函数。
• 所有发送响应的逻辑后统一加return，避免后续代码执行。
• 额外优化：替换字符串拼接SQL为参数化查询，避免SQL注入漏洞。

修正后代码示例 #

exports.postFormInput = async (req, res, next) => {
  // 改用同步jwt校验保证执行顺序
  let decoded;
  try {
    decoded = jwt.verify(req.body.jwt, process.env.SECRET_FOR_JWT);
  } catch (err) {
    res.sendStatus(403);
    return;
  }
  if (decoded.userId !== req.body.userId) {
    res.sendStatus(403);
    return;
  }
  const username = decoded.username;
  const userId = decoded.userId;

  try {
    // 改用参数化查询避免注入
    const statusSql = "SELECT status FROM form_input WHERE user_id = ?";
    const [statusList] = await db.execute(statusSql, [userId]);
    // 先判断是否存在processing状态的记录
    const hasProcessing = statusList.some(item => item.status === 'processing');
    if (hasProcessing) {
      res.json({ message: 'previous result not finished' });
      return;
    }
  } catch (e) {
    next(e);
    return;
  }

  const project_name = req.body.ProjectInput.project_name;
  try {
    const projectSql = "SELECT project_name FROM form_input WHERE user_id = ?";
    const [projectList] = await db.execute(projectSql, [userId]);
    // 先判断是否存在重名项目
    const hasSameName = projectList.some(item => item.project_name === project_name);
    if (hasSameName) {
      res.json({ message: 'two projects with the same name' });
      return;
    }
  } catch (e) {
    next(e);
    return;
  }

  // 后续正常业务逻辑
}

内容的提问来源于stack exchange，提问作者Anurag Gupta