Node/Express/KeystoneJs下Access-Control-Allow-Headers请求头不允许问题

你的问题核心很清晰：Angular请求里携带了自定义请求头params，但Keystone服务器的预检（preflight）响应中，Access-Control-Allow-Headers列表没包含这个头，导致浏览器拦截了请求。本地环境正常大概率是因为开发时用了Angular代理配置规避了跨域，部署后直接发起跨域请求才暴露问题。

下面是针对性的解决步骤：

1. 修正Keystone的CORS核心配置 #

你之前把cors allow headers设为true，但Keystone的这个配置不会自动包含自定义请求头，必须明确列出所有允许的头，包括你的params：

// keystone.js
keystone.set('cors allow origin', true);
keystone.set('cors allow methods', 'GET,POST,PUT,DELETE'); // 明确允许的方法更严谨
keystone.set('cors allow headers', 'Origin, X-Requested-With, Content-Type, Accept, params'); // 务必加入params头

2. 调整自定义OPTIONS请求处理（如果保留） #

你在routes/index.js里添加的自定义OPTIONS处理，同样缺少params的允许配置，需要补上：

// routes/index.js
app.options('/*', function(req, res) {
  res.header("Access-Control-Allow-Credentials", "true");
  res.header('Access-Control-Allow-Methods', 'GET,POST');
  res.header("Access-Control-Allow-Origin", "*"); // 若需限制主域名，可替换为你的主域名，比如"https://your-main-domain.com"
  res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept, params"); // 这里必须加入params
  res.sendStatus(200);
});

3. 确保中间件加载顺序正确 #

要让CORS相关的中间件（不管是Keystone自带的还是你自定义的）优先于其他路由处理，这样预检请求才能被第一时间响应。比如在routes/index.js里，把app.all('/*', keystone.middleware.cors);或自定义OPTIONS代码放在所有路由定义的最前面。

4. 验证配置是否生效 #

部署修改后，你可以用curl发送预检请求验证响应头：

curl -X OPTIONS http://xxxxxxxx.com/label -H "Access-Control-Request-Method: POST" -H "Access-Control-Request-Headers: params" -H "Origin: https://your-main-domain.com"

查看响应头中是否包含Access-Control-Allow-Headers: ..., params，如果有，说明配置已生效。

额外提醒：如果你的Angular请求需要携带凭证（比如cookie），那Access-Control-Allow-Origin不能设为*，必须明确指定主域名，同时Angular请求要设置withCredentials: true，Keystone端保持Access-Control-Allow-Credentials: true。

内容的提问来源于stack exchange，提问作者MaSza