fetch 请求报 CORS 跨域，Access-Control-Allow-Origin 该怎么配

本地联调时前端 3000 端口请求 8080 的接口，浏览器控制台报跨域，Postman 却能通。日志里能对上时间点，这种反而好排。

浏览器同源策略拦截跨域响应，服务端没有返回允许来源的响应头。这一点先确认清楚，后面就不用反复试。

// Node/Express
app.use((req, res, next) => {
  res.setHeader('Access-Control-Allow-Origin', req.headers.origin || '*');
  res.setHeader('Access-Control-Allow-Credentials', 'true');
  res.setHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization');
  if (req.method === 'OPTIONS') return res.sendStatus(204);
  next();
});

「fetch CORS 跨域」改完先别急着全量，挑一台机器放半天，真有问题这段时间就能看出来。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。

报错里带路径的，先去看那个路径在不在、权限对不对。同一份配置存在多处的，先确认改的是被加载的那一份。

新版本先放一台机器上跑一天再全量，问题一般在这段时间暴露。备份不是备了就行，恢复一次才算数，很多备份文件打开才发现是空的。

处理上按这个顺序：服务端按来源返回允许头；预检请求要单独处理 OPTIONS；带凭证时不能用通配符。

结果对不对很好判断，浏览器里请求返回 200 且控制台没有跨域报错，带 cookie 的请求也能成功。