如何仅允许自有域名（含带www与不带www）配置Node.js后端CORS？

这问题我之前帮不少开发者解决过，核心就是精准配置CORS规则——既要解决跨域问题，又要守住安全底线，拒绝无关域名的请求。

先搞懂问题根源 #

浏览器会把yourdomain.com和www.yourdomain.com视为两个不同的源，当你不带www访问并发起POST请求时，浏览器会先发送OPTIONS预检请求，而如果后端没正确配置允许这个源的CORS响应头，就会抛出你看到的错误。带www访问正常，说明后端之前只配置了带www的域名，没覆盖不带www的情况。

解决方案1：用Express cors 中间件（推荐） #

这是最简洁可靠的方式，先安装依赖：

npm install cors

然后在你的Express应用里做精准配置，只允许你的两个域名访问：

const express = require('express');
const cors = require('cors');
const app = express();

// 定义你要允许的自有域名列表
const allowedOrigins = [
  'https://yourdomain.com',
  'https://www.yourdomain.com'
];

// 配置CORS规则
const corsOptions = {
  origin: function (origin, callback) {
    // 允许无origin的请求（比如Postman测试），同时校验请求来源是否在白名单内
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  },
  // 如果你的请求需要携带Cookie/HTTP认证信息，必须打开这个选项
  credentials: true,
  // 让浏览器缓存预检请求结果一天，减少OPTIONS请求的开销
  maxAge: 86400
};

// 把CORS中间件应用到所有路由
app.use(cors(corsOptions));

// 你的POST接口示例
app.post('/api/submit-data', (req, res) => {
  // 处理你的业务逻辑
  res.json({ status: 'success', data: req.body });
});

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

解决方案2：手动配置CORS响应头（不依赖第三方包） #

如果你不想用cors包，可以自己写中间件处理：

const express = require('express');
const app = express();

const allowedOrigins = [
  'https://yourdomain.com',
  'https://www.yourdomain.com'
];

// 自定义CORS中间件
app.use((req, res, next) => {
  const origin = req.headers.origin;
  
  // 校验请求来源，只允许白名单内的域名
  if (!origin || allowedOrigins.includes(origin)) {
    res.setHeader('Access-Control-Allow-Origin', origin);
  }
  
  // 允许的HTTP方法（根据你的接口需求调整）
  res.setHeader('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
  // 允许的请求头（如果你的前端需要自定义头，比如Authorization，要在这里加上）
  res.setHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization');
  // 允许携带凭证（Cookie/认证信息）
  res.setHeader('Access-Control-Allow-Credentials', 'true');
  
  // 处理OPTIONS预检请求：直接返回200，不用走后续路由逻辑
  if (req.method === 'OPTIONS') {
    return res.sendStatus(200);
  }
  
  next();
});

// 你的POST接口
app.post('/api/submit-data', (req, res) => {
  res.json({ status: 'success', data: req.body });
});

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

额外注意事项 #

1. 生产环境务必用HTTPS：现代浏览器对HTTP跨域请求的限制更严格，HTTPS能避免很多潜在问题。
2. 绝对不要用*作为允许的origin：这会让所有域名都能访问你的API，完全失去安全控制，正是你要避免的风险。
3. AngularJS前端配合配置：如果你的请求需要携带Cookie，要在$http里开启withCredentials：

$http.post('https://yourdomain.com/api/submit-data', yourData, { withCredentials: true })
  .then(response => { /* 处理响应 */ })
  .catch(error => { /* 处理错误 */ });

这样配置后，不管用户是带www还是不带www访问你的网站，POST请求都能正常通过CORS校验，其他域名的请求会被直接拒绝，完美解决问题同时保证安全。

内容的提问来源于stack exchange，提问作者Sudhanshu Gaur