Express配置cors包仍报No 'Access-Control-Allow-Origin'问题求助

问题根因定位 #

你提供的代码中存在明显语法错误，直接导致部分请求的响应头缺失CORS配置：
所有delete路由的回调写法不符合Promise规范：

// 错误写法
app.delete("/questions/:id", (req, res) => {
    queries.deleteQuestion(req.params.id).then(res.sendStatus(204));
});

then方法需要接收回调函数作为参数，你直接写res.sendStatus(204)等价于代码执行到当前行时立刻调用返回响应，不会等待数据库操作完成，提前返回的响应会跳过部分头注入逻辑，自然会报CORS错误。

除此之外还有两类常见的触发原因：

• 部署环境配置覆盖：如果服务部署在托管平台（Render、Vercel等）或配置了Nginx反向代理，平台/代理的默认规则可能会覆盖代码中设置的响应头
• 预检请求未正常处理：非简单请求（PATCH/DELETE方法、带自定义请求头）会提前发OPTIONS预检请求，若该请求被提前拦截返回，也会导致CORS报错

修复方案 #

1. 修正所有delete路由写法 #

将三个delete路由全部调整为回调函数形式：

app.delete("/questions/:id", (req, res) => {
    queries.deleteQuestion(req.params.id).then(() => res.sendStatus(204));
});

app.delete("/answers/:id", (req, res) => {
    queries.deleteAnswer(req.params.id).then(() => res.sendStatus(204));
});

app.delete("/users/:id", (req, res) => {
    queries.deleteUser(req.params.id).then(() => res.sendStatus(204));
});

2. 增加预检请求兜底处理 #

在所有路由定义前增加OPTIONS请求处理逻辑，确保预检请求正常返回跨域头：

app.options('*', cors())

3. 排查部署层配置 #

如果本地调试正常、部署后报错，检查托管平台的跨域配置规则，或者在Nginx等反向代理层手动增加跨域头配置。

4. 兜底手动配置跨域头 #

如果cors包始终不生效，可以直接用自定义中间件注入跨域头：

app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', '*')
  res.header('Access-Control-Allow-Methods', 'GET, POST, PATCH, DELETE, OPTIONS')
  res.header('Access-Control-Allow-Headers', 'Content-Type')
  if (req.method === 'OPTIONS') return res.sendStatus(200)
  next()
})

内容的提问来源于stack exchange，提问作者jimbucktoo