Node JS Express服务器-跨源请求被阻止，即使具有所有正确的头

Question

尽管我的nodejs服务器中有正确的头：

app.get('/api', function(req, res){
    res.header('Access-Control-Allow-Origin'. '*');
    res.header('Access-Control-Allow-Methods', 'GET');
    res.header('Access-Control-Allow-Headers', 'Origin, X-Requested-With, Content-Type, Accept');

    res.status(200).send({'a':'b'});
});

当我在火狐浏览器中发出请求时，我仍然会出错：

“阻止跨源请求：同一源策略不允许读取位于的远程资源。”http://www.example.com/api/. （原因：缺少CORS标头“访问控制允许原点”。）

以下是我在客户端提出请求的方式：

var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function(){
    if(this.readyState === 4 && this.status === 200){
        console.log(this.response);
    }
};
xhr.open('GET', 'http://www.example.com/api', true);
xhr.setRequestHeader('Access-Control-Allow-Origin', '*');
xhr.setRequestHeader('Access-Control-Allow-Methods', 'GET');
xhr.setRequestHeader('Access-Control-Allow-Headers', 'Origin, X-Requested-With, Content-Type, Accept');
xhr.send(null);

Answer 1

您可以使用express尝试cors模块。

var express = require('express');
var cors = require('cors');
var app = express();

var corsOptions = {
  origin: 'http://example.com',
  optionsSuccessStatus: 200 // some legacy browsers (IE11, various SmartTVs) choke on 204
}

app.use(cors(corsOptions));

app.listen(80, function () {
  console.log('CORS-enabled web server listening on port 80')
})

如果你想为特定的领域。

var express = require('express');
var cors = require('cors');
var app = express();

var allowlist = ['http://example1.com', 'http://example2.com']
var corsOptionsDelegate = function (req, callback) {
  var corsOptions;
  if (allowlist.indexOf(req.header('Origin')) !== -1) {
    corsOptions = { origin: true }; // reflect (enable) the requested origin in the CORS response
  } else {
    corsOptions = { origin: false }; // disable CORS for this request
  }
  callback(null, corsOptions); // callback expects two parameters: error and options
}

app.get('/products/:id', cors(corsOptionsDelegate), function (req, res, next) {
  res.json({msg: 'This is CORS-enabled for an allowed domain.'});
});

app.listen(80, function () {
  console.log('CORS-enabled web server listening on port 80');
});

有关详细信息，请单击此处

嗯

Answer 2

不要在客户端设置“访问控制允许源”，它应该只在服务器端添加。因此，服务器知道接受来自所有源的请求。