Express默认是否禁用CORS？自定义CORS规则及测试相关技术咨询

让我逐个帮你理清这些疑问：

1. 指定单个URL的CORS配置是否正确？ #

完全正确！你写的这段代码是官方推荐的针对特定源开启CORS的标准方式：

var corsOptions = { 
  origin: 'http://example.com', 
  optionsSuccessStatus: 200 
} 
app.use(cors(corsOptions))

• origin: 'http://example.com' 会让服务器仅在响应中添加允许该域名的CORS头，其他域名发起的跨域请求会被浏览器拦截。
• optionsSuccessStatus: 200 是为了兼容IE11这类旧版浏览器，它们对OPTIONS预请求的成功状态码有特殊要求。

如果之后需要允许多个合法源，你还可以把origin设为数组（比如['http://example.com', 'https://another-domain.com']），或者用自定义函数动态判断请求源是否符合规则。

2. Express默认是否会阻止所有源/URL访问资源？ #

答案是否定的。Express的默认行为不会主动设置任何CORS相关响应头，但这和“阻止所有源”是完全不同的概念：

• 对于浏览器发起的跨域请求，因为服务器没有返回Access-Control-Allow-Origin头，浏览器会根据同源策略拦截响应（用户看不到结果），但服务器其实已经正常处理了这个请求。
• 对于Postman、curl这类非浏览器客户端，它们不受同源策略限制，不管有没有CORS头都能正常访问服务器资源。

3. 跳过CORS中间件，服务器是否会阻止所有请求？ #

不会。服务器依然会接收并处理所有请求，只是不会在响应中添加CORS允许头。核心区别在于：

• 浏览器的跨域请求会被浏览器自身拦截（不是服务器主动拒绝）。
• 非浏览器工具可以正常发送请求并获取响应结果。

4. 未启用CORS中间件时，为什么用Postman还能测试请求？ #

因为CORS是浏览器专属的安全机制，目的是限制网页脚本在不同域名之间的资源访问，防止恶意网站窃取用户数据。而Postman、curl这类工具不属于浏览器环境，它们不会执行同源策略检查，所以不管服务器有没有设置CORS头，都能正常完成请求并拿到响应。

内容的提问来源于stack exchange，提问作者judgejab