Cordova应用连接Node.js Socket.io服务器遇跨域权限问题求助

这个问题的核心在于：当请求的凭证模式（credentials mode）为include时，浏览器不允许服务器将Access-Control-Allow-Origin设为通配符*。Socket.io默认会在请求中携带凭证（比如Cookie），所以即使你设置了io.set('origins', '*:*')，也会触发这个拦截。

下面是两种可行的解决方案，优先推荐第一种：

方案一：服务器端动态返回请求Origin，允许凭证 #

我们需要修改Node.js服务器配置，不再用通配符，而是根据请求的实际Origin动态返回，同时明确允许凭证传递。这里需要同时配置Express的CORS和Socket.io自身的CORS规则，确保两者一致：

1. 先安装cors中间件（如果还没装）：

npm install cors

2. 修改你的app.js代码：

const express = require('express');
const cors = require('cors');
const app = express();

// 配置Express的CORS规则
const allowedOrigins = [
  'http://127.0.0.1:8080', // Cordova本地调试地址
  'https://www.ride4you.co.il', // 生产环境同源地址
  null // 兼容Cordova WebView的file://协议（此时Origin为null）
];

app.use(cors({
  origin: function(origin, callback) {
    // 允许白名单内的Origin，或者无Origin的请求（比如file://）
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  },
  credentials: true // 允许携带凭证
}));

// 配置Socket.io的CORS规则，和Express保持一致
const server = require('http').createServer(app);
global.io = require('socket.io')(server, {
  cors: {
    origin: function(origin, callback) {
      if (!origin || allowedOrigins.includes(origin)) {
        callback(null, true);
      } else {
        callback(new Error('Not allowed by CORS'));
      }
    },
    credentials: true
  }
});

这样配置后，服务器会根据每个请求的Origin返回对应的Access-Control-Allow-Origin值，同时允许凭证传递，完美解决Cordova跨域的问题。

方案二：客户端关闭凭证传递（仅适用于无需凭证的场景） #

如果你的Socket.io连接不需要携带任何凭证（比如Cookie、HTTP认证信息），可以在客户端连接时关闭withCredentials：

var socket = io("https://www.ride4you.co.il", {
  withCredentials: false
});

不过这个方案有局限性，如果服务器依赖凭证做身份验证或会话管理，就会失效，所以优先推荐方案一。

额外提示 #

• 如果你在Cordova打包后的应用中测试，可能需要允许file://协议的请求，这就是我们在白名单中加入null的原因（因为file://发起的请求Origin为null）。
• 确保服务器重启后配置生效，避免缓存导致的旧规则残留。

内容的提问来源于stack exchange，提问作者Raz