携带Authorization的GET请求无法跳过OPTIONS预检的解决方案咨询

首先得搞清楚背后的原因：浏览器的CORS安全规则里，非简单请求会自动发起OPTIONS预检请求。你在请求头里添加的Authorization属于「非简单请求头」，所以浏览器会先发送OPTIONS请求，确认服务器是否允许这个自定义头的存在。

要实现带Authorization时直接发GET而跳过OPTIONS，你可以从这几个方向尝试：

1. 尝试将请求转为「简单请求」（不推荐生产环境） #

简单请求的判定标准是：

• 请求方法仅限GET、HEAD、POST
• 自定义请求头只能是Accept、Accept-Language、Content-Language、Content-Type（且Content-Type的值只能是application/x-www-form-urlencoded、multipart/form-data、text/plain）
• 没有额外的自定义请求头（比如你用的Authorization就不符合）

如果一定要走这条路，只能换一种身份验证方式，比如把token放到URL的查询参数里（但这种方式存在安全风险，token可能会被日志记录，不建议生产环境使用）。

2. 配置服务器端开启预检缓存（最实用的生产方案） #

虽然没法完全避免第一次的OPTIONS请求，但可以通过设置Access-Control-Max-Age响应头，让浏览器缓存预检结果一段时间。在缓存有效期内，后续的同类型请求就不会再触发OPTIONS了。

比如在服务器端添加这些响应头：

Access-Control-Max-Age: 86400  # 缓存预检结果1天
Access-Control-Allow-Headers: Authorization, Content-Type  # 明确允许Authorization头
Access-Control-Allow-Methods: GET  # 允许GET方法
Access-Control-Allow-Origin: 你的前端域名  # 指定允许的跨域源

同时要确保服务器能正确处理OPTIONS请求，返回200状态码和上述响应头。

3. 使用同域请求或前端代理 #

如果你的前端和后端部署在同一域名下，就不会触发CORS校验，自然不会有OPTIONS请求。如果是跨域场景，你可以在前端搭建一个代理服务器，把请求转发到后端：

比如在Angular中配置proxy.conf.json：

{
  "/api/*": {
    "target": "https://你的后端域名",
    "secure": false,
    "changeOrigin": true
  }
}

启动项目时指定代理配置：

ng serve --proxy-config proxy.conf.json

这样前端请求的是同域的代理地址，代理再转发请求到后端，就能绕开浏览器的CORS预检限制。

补充说明 #

浏览器的CORS规则是浏览器层面的安全限制，无法完全绕过带自定义头的跨域GET请求的第一次OPTIONS预检，除非能让请求符合简单请求标准，或者使用代理/同域方案。服务器端配置预检缓存是生产环境中最实用的方案，能大幅减少OPTIONS请求的次数。

内容的提问来源于stack exchange，提问作者Yatin