Express服务器请求头Authorization无法设置，始终为null问题求助

我之前也碰到过一模一样的问题，结合你已经配置CORS但认证头不生效的场景，可以从这几个方向逐一排查：

1. 先确认前端请求是否正确设置了Authorization头 #

这是最容易踩坑的点，先检查前端代码：

• 拼写要准确：是Authorization（注意大小写和完整拼写，别写成Authroization这类错误变体）
• 格式要符合约定：通常认证头的格式是Bearer ${token}，举个Axios的例子：

  const token = localStorage.getItem('authToken');
  // 先在控制台打印token，确认它不是null/undefined
  console.log('当前token:', token);
  axios.get('/api/user/profile', {
    headers: {
      Authorization: `Bearer ${token}` // 务必带上Bearer前缀（如果后端是这么约定的）
    }
  });
  

2. 检查CORS配置是否允许携带认证头 #

虽然你配置了CORS，但默认配置可能没开放自定义的Authorization头，也没开启凭证支持。调整你的CORS配置：

const cors = require('cors');

app.use(cors({
  origin: 'https://你的前端域名.com', // 注意：如果要带认证头/凭证，不能用通配符*，必须指定具体域名
  credentials: true, // 允许携带凭证（包括认证头、Cookie等）
  allowedHeaders: ['Authorization', 'Content-Type'], // 明确把Authorization加入允许的请求头列表
  methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'] // 确保OPTIONS预检请求被允许
}));

3. 确保OPTIONS预检请求被正确处理 #

带自定义头的跨域请求会触发浏览器的OPTIONS预检请求，你的Express服务器需要正确响应这个请求。一定要把cors中间件放在所有路由之前加载，避免OPTIONS请求被其他路由逻辑拦截：

// 正确写法：先加载cors中间件
app.use(cors(...));
// 再定义路由
app.get('/api/protected', (req, res) => { ... });

// 错误写法：路由在cors之前，OPTIONS请求会被路由拦截
// app.get('/api/protected', (req, res) => { ... });
// app.use(cors(...));

4. 前端是否开启了跨域凭证支持 #

跨域请求时，前端必须开启withCredentials，否则浏览器会自动丢弃认证头：

• Axios：可以在请求实例中全局设置

  const api = axios.create({
    baseURL: 'https://你的后端域名.com',
    withCredentials: true
  });
  

• XMLHttpRequest：直接设置属性

  const xhr = new XMLHttpRequest();
  xhr.withCredentials = true;
  xhr.open('GET', '/api/protected');
  xhr.setRequestHeader('Authorization', `Bearer ${token}`);
  xhr.send();
  

5. 后端是否正确读取头信息 #

最后确认后端代码的读取方式，Express会把所有请求头字段转为小写，所以要注意用小写的authorization：

app.get('/api/protected', (req, res) => {
  const authHeader = req.headers.authorization; // 这里是小写的authorization
  if (!authHeader) {
    return res.status(401).send('未提供Authorization请求头');
  }
  // 后续解析token的逻辑...
});

内容的提问来源于stack exchange，提问作者gpbaculio