NodeJS使用res.writeHead重定向时authorization请求头丢失问题

你写的3种服务端代码逻辑没有问题，Authorization头丢失是客户端处理重定向时的默认安全策略导致的，和服务端无关，常见原因和解决方案如下：

核心原因 #

• 浏览器/HTTP 客户端的安全限制：根据 HTTP 规范，当重定向请求属于跨源场景时，客户端会自动移除Authorization这类敏感请求头，避免凭证泄露到非信任站点。
• CORS 策略限制：如果目标服务和原服务不属于同源，且未正确配置跨域凭证相关的 CORS 规则，客户端也会自动剥离敏感头。
• 部分HTTP客户端默认配置：比如Axios、Fetch API默认在重定向时不会携带凭证类头，需要显式开启配置。
• 反向代理/CDN过滤：如果你的服务前部署了Nginx、CDN等代理层，可能配置了过滤Authorization等敏感头的规则，导致头在代理层就被丢弃。

解决方案 #

方案1：改用服务端代理转发（最推荐） #

不要返回3xx重定向让客户端跳转，直接在当前Node.js服务作为反向代理，将原始请求的所有头、请求体转发到目标服务器，再把目标服务器的响应返回给客户端，完全规避客户端重定向的头丢失问题。示例代码逻辑：

const axios = require('axios')
// 处理请求的逻辑
async function handleRequest(req, res) {
  try {
    const targetRes = await axios({
      method: req.method,
      url: ENV_CONFIG.ENV_US_URL + req.url,
      headers: req.headers,
      data: req,
      responseType: 'stream'
    })
    res.writeHead(targetRes.status, targetRes.headers)
    targetRes.data.pipe(res)
  } catch (err) {
    res.writeHead(err.response?.status || 500)
    res.end(err.message)
  }
}

方案2：显式配置客户端携带凭证 #

如果必须使用客户端重定向，且前后端都是你可管控的范围：

1. 前端发起请求时显式开启凭证携带：
   • Fetch API：添加配置credentials: 'include'
   • Axios：添加配置withCredentials: true
2. 目标Node.js服务配置CORS规则：
   • Access-Control-Allow-Origin不能设置为*，必须指定具体的源站域名
   • 配置Access-Control-Allow-Credentials: true
   • 配置Access-Control-Allow-Headers包含Authorization以及你用到的自定义头

方案3：通过URL参数传递（仅限内部低安全级场景） #

如果以上方案都无法落地，可以将Authorization的值编码后拼接到Location的查询参数中，目标服务器从查询参数中取值后再放到请求头里使用，该方案缺点是URL会被各类日志记录，存在凭证泄露风险，不建议生产环境对外使用。

内容的提问来源于stack exchange，提问作者Subhi Samara