如果我在前端上得到一个跨源请求阻塞错误，为什么请求似乎仍然得到处理

Question

我的印象是，跨源请求被阻止主要是一个安全问题，它防止邪恶的网站获得或更新您的web服务上的信息。

import express = require('express')
const app = express()
const port = 80

app.use(function (req, res, next) {
    // res.header("Access-Control-Allow-Origin", "*")
    // res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept")
    next()
});

app.get('/foo', (req, res) => {
    console.log("test1")
    res.json({
        data: "Hello"
    })
    console.log("test2")
})

app.listen(port, () => {
    console.log(`app listening at http://localhost:${port}`)
})

test1
test2

express是否应该阻止服务继续运行，因为起源是不允许的？如果express代码即使前端得到错误仍在执行，这难道不是一个安全威胁吗？

Answer 1

在浏览器实现中有两种类型的CORs请求，使用哪种请求取决于所发出的特定请求。

对于不需要预飞行的请求，向后端发出请求，然后浏览器检查结果头，以查看是否允许CORs请求。如果不允许（如您所示的情况），那么请求的结果将被客户机阻止，因此客户机无法看到请求的结果（即使服务器完全处理了它）。

据我所知，从你所展示的情况来看，这里的一切都在按预期进行。该请求被视为“简单请求”，不需要预先飞行。基于浏览器的Javascript将不被允许从这个路径获得结果，如果它不是相同的来源。

你可以在这里看到什么触发了飞行前。

据推测，浏览器并不总是使用预飞行，因为它的效率较低（需要双倍的请求）。