Express服务器Heroku开发环境可启动，生产环境因CORS_WHITELIST报错失败

开发者阿泽

2026-5-25

解决Heroku生产环境部署时CORS_WHITELIST报错问题

嘿，这个问题我之前帮不少开发者排查过，核心就是生产环境中CORS_WHITELIST没有被正确初始化，导致执行CORS_WHITELIST.indexOf(origin) !== -1时抛出错误。下面是具体的排查和修复步骤：

1. 先检查Heroku的环境变量配置

开发环境里你大概率是在本地.env文件里定义了CORS_WHITELIST（比如数组格式），但Heroku生产环境的环境变量需要单独配置：

登录Heroku控制台，找到你的应用，进入「Settings」→「Config Vars」
添加CORS_WHITELIST变量，注意格式：如果是多个域名，用逗号分隔的字符串（比如https://your-production-site.com,https://another-domain.com），不要直接写数组格式（Heroku会把它当成字符串解析）

2. 修复代码里的CORS_WHITELIST初始化逻辑

生产环境的环境变量默认是字符串类型，直接用indexOf会报错，所以要把它转成数组：

// 替换你原来的CORS_WHITELIST初始化代码
const CORS_WHITELIST = process.env.CORS_WHITELIST
  ? process.env.CORS_WHITELIST.split(',').map(url => url.trim())
  : [];

// 如果你之前是用JSON格式存的环境变量，就用下面这段解析：
// const CORS_WHITELIST = process.env.CORS_WHITELIST ? JSON.parse(process.env.CORS_WHITELIST) : [];

这样不管是本地开发的数组，还是Heroku上的逗号分隔字符串，都能被正确转为数组，避免indexOf调用失败。

3. 给CORS判断加一层容错

为了防止极端情况（比如环境变量没设置）导致崩溃，可以优化origin判断逻辑：

const isOriginAllowed = (origin) => {
  // 白名单为空时，可根据需求选择允许所有或拒绝，这里示例是允许所有
  if (!CORS_WHITELIST || CORS_WHITELIST.length === 0) return true;
  return CORS_WHITELIST.indexOf(origin) !== -1;
};