简易CORS配置失效原因咨询（Firefox 58 + Node.js 6.10）

嘿，我来帮你搞定这个CORS拦截的问题！你遇到的这个报错在开发环境里特别常见，结合你用的Node.js 6.10和Firefox 58，咱们一步步梳理可能的原因：

1. 服务器端CORS头配置是否完整正确 #

这是最容易出问题的地方，你得确认几个关键点：

• Access-Control-Allow-Origin 必须精准匹配前端源：你的前端部署在localhost:5000，那服务器返回的这个头必须是http://localhost:5000（注意别漏了http://，也不能有多余空格）。如果是开发环境临时测试，也可以设为*，但如果请求带了凭证（比如cookie、HTTP认证），*就不能用了，必须指定明确的源。
• 非简单请求要处理预检（OPTIONS）请求：如果你的前端是POST/PUT等方法，或者带了自定义请求头（比如Authorization），浏览器会先发送一个OPTIONS预检请求。这时候服务器必须正确响应这个请求，返回允许的方法、头信息，并且返回200状态码。
• 带凭证的请求需额外配置：如果你的请求用了withCredentials: true，服务器还要加上Access-Control-Allow-Credentials: true的头，同时Access-Control-Allow-Origin不能是*。

2. Node.js 6.10的版本兼容性问题 #

Node.js 6.x是比较老的版本了，如果你用了第三方CORS库（比如cors），要注意安装兼容这个版本的包。最新版的cors已经不支持Node 6了，你得安装cors@2.8.5这个版本，执行命令：

npm install cors@2.8.5 --save

另外，如果你是手动写CORS中间件，一定要确保这个中间件在所有路由之前注册，不然请求到路由的时候还没加上CORS头，就会被浏览器拦截。

3. Firefox 58的严格校验 #

Firefox 58对CORS头的格式校验很严格，比如：

• 如果Access-Control-Allow-Origin头的值有多余的空格、拼写错误，会直接被判定为无效。
• 检查响应头里有没有重复的CORS头，比如重复设置了Access-Control-Allow-Origin，也会导致拦截。

你可以打开Firefox的开发者工具（按F12），切换到「网络」面板，找到被拦截的请求，查看它的「响应头」部分，确认CORS相关的头是否正确返回。如果是预检OPTIONS请求失败，重点看这个请求的响应状态和头信息。

给你两个可用的配置示例 #

用cors库的正确配置（兼容Node 6） #

const express = require('express');
const cors = require('cors');
const app = express();

// 针对localhost:5000配置CORS
app.use(cors({
  origin: 'http://localhost:5000',
  credentials: true, // 如果需要带凭证就开启
  allowedHeaders: ['Content-Type', 'Authorization'], // 根据你的请求头调整
  methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS']
}));

// 你的业务路由
app.get('/api/test', (req, res) => {
  res.json({ data: '测试数据' });
});

app.listen(3000, () => {
  console.log('服务器运行在3000端口');
});

手动写CORS中间件的配置 #

const express = require('express');
const app = express();

// 全局CORS中间件，放在所有路由前面
app.use((req, res, next) => {
  // 允许指定源的请求
  res.header('Access-Control-Allow-Origin', 'http://localhost:5000');
  // 允许的HTTP方法
  res.header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
  // 允许的请求头
  res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization');
  // 允许带凭证
  res.header('Access-Control-Allow-Credentials', true);

  // 处理OPTIONS预检请求，直接返回200
  if (req.method === 'OPTIONS') {
    return res.sendStatus(200);
  }
  next();
});

// 业务路由
app.post('/api/submit', (req, res) => {
  res.json({ success: true });
});

app.listen(3000);

按照上面的步骤排查，应该能解决你的CORS拦截问题。如果还是不行，记得看看开发者工具里的网络请求详情，把请求和响应的头信息贴出来，能更精准定位问题！

内容的提问来源于stack exchange，提问作者sdgfsdh