Express中res.header()无法生效求助：登录鉴权无法返回响应头

看起来你遇到的是跨域场景下自定义响应头被浏览器拦截的问题，我帮你分析下原因和具体解决方案：

问题根源 #

当前后端跨域通信时，浏览器出于安全策略限制，默认只会让前端JS访问标准响应头（比如你打印出来的Content-Type、Date这些）。像Authorization这类自定义响应头，必须后端明确配置允许暴露给前端，否则浏览器会自动隐藏该字段，导致Axios无法读取到。

具体解决方案 #

假设你用的是Express官方推荐的cors中间件处理跨域，只需要调整它的配置即可：

1. 先确认已安装cors依赖（未安装的话执行下方命令）：

npm install cors

2. 在你的Express项目入口文件中，修改CORS配置，添加exposedHeaders选项：

const cors = require('cors');
const express = require('express');
const app = express();

// 配置CORS选项
const corsOptions = {
  origin: 'http://你的前端域名:端口', // 比如本地开发的'http://localhost:8080'，生产环境填实际域名
  credentials: true, // 保持开启，因为你的代码里用到了session传递凭证
  exposedHeaders: ['Authorization'] // 关键：把自定义的Authorization头加入暴露列表
};

// 应用CORS中间件（注意要放在路由定义之前）
app.use(cors(corsOptions));

// 之后再挂载你的登录路由
app.use(router);

验证修改 #

重启后端服务后，再次发起登录请求，你会发现Axios的onResponse里打印的res.headers已经包含authorization字段了，后续的token存储逻辑也能正常执行。

另外提个小建议：你现在同时用了session存储token和返回Authorization头，这两种鉴权方式选其一就足够了，避免代码冗余。前后端分离场景下，基于JWT的Authorization头方式会更主流哦。

内容的提问来源于stack exchange，提问作者kampfkuchen