Apollo Server/Client配置特定Origin仍遇CORS通配符错误求助

我之前也碰到过完全一样的问题！核心原因是Apollo Server 自身内置了 CORS 处理逻辑，它会覆盖你在 Express 层配置的 cors 中间件，导致你设置的特定 Origin 没有生效，响应头反而用了默认的通配符 *，这就触发了浏览器的 CORS 报错。

具体解决方案 #

你有两种可行的修复方式，选一种就行：

方案1：移除 Express 的 cors 中间件，直接在 Apollo Server 中配置 CORS #

删掉你写的 app.use(cors({...}))，然后在创建 ApolloServer 实例时，直接传入 CORS 配置：

const server = new ApolloServer({
  typeDefs,
  resolvers,
  // 在这里配置CORS
  cors: {
    credentials: true,
    origin: "http://localhost:3000"
  }
});

方案2：保留 Express 的 cors 中间件，禁用 Apollo Server 的内置 CORS #

如果你想继续用 Express 的 cors 中间件，需要在 Apollo Server 配置里把 cors 设为 false，让 Express 完全接管 CORS 处理：

const server = new ApolloServer({
  typeDefs,
  resolvers,
  // 禁用Apollo自带的CORS
  cors: false
});

这样你的 app.use(cors({...})) 配置就会正常生效了。

关于其他现象的解释 #

• 当你把客户端 credentials 改成 "same-origin" 时，浏览器不会发送跨域凭证，所以服务端的 Cookie 不会被携带，自然也接收不到；同时因为不发送凭证，浏览器允许响应头用通配符 *，所以不会报 CORS 错误。
• GraphQL Playground 和服务端是同源的（都在 http://localhost:4000），不存在跨域问题，所以 Cookie 功能正常。

修改完配置后记得重启两端服务，再测试查询，你会发现响应头的 Access-Control-Allow-Origin 已经变成 http://localhost:3000，Cookie 也能正常传递了。

内容的提问来源于stack exchange，提问作者GeraltDieSocke