[TOC] # cors CORS是一個node.js包，用于提供可用于啟用各種選項的CORS的Connect / Express中間件。 <br> <br> ## 所有請求啟用CORS ~~~ var cors = require('cors') app.use(cors()) ~~~ <br> ## 為單個路由啟用CORS ~~~ var cors = require('cors') app.get('/products/:id', cors(), function (req, res, next) { res.json({msg: 'This is CORS-enabled for a Single Route'}) }) ~~~ <br> ## 白名單/動態路由 ~~~ var express = require('express') var cors = require('cors') var app = express() var whitelist = ['http://example1.com', 'http://example2.com'] var corsOptions = { origin: function (origin, callback) { if (whitelist.indexOf(origin) !== -1) { callback(null, true) } else { callback(new Error('Not allowed by CORS')) } } } app.get('/products/:id', cors(corsOptions), function (req, res, next) { res.json({msg: 'This is CORS-enabled for a whitelisted domain.'}) }) ~~~ <br> ## 預檢 某些CORS請求被認為是“復雜的”并且需要初始OPTIONS請求（稱為“pre-flight請求”）。 “復雜”CORS請求的示例是使用除GET / HEAD / POST之外的HTTP動詞（例如DELETE）或使用自定義標頭的請求。 要啟用pre-flight，您必須為要支持的路由添加新的OPTIONS處理程序： ~~~ app.options('/products/:id', cors()) // enable pre-flight request for DELETE request app.del('/products/:id', cors(), function (req, res, next) { res.json({msg: 'This is CORS-enabled for all origins!'}) }) ~~~ 也可以這樣允許所有預檢 ~~~ app.options('*', cors()) // include before other routes ~~~ <br> ## 配置 * origin 配置 Access-Control-Allow-Origin CORS header。 可能的值： * Boolean - 將origin設置為true以反映請求源，由req.header（'Origin'）定義，或將其設置為false以禁用CORS * String - 將origin設置為指定的origin * RegExp * Array - 將原點設置為有效原點的數組。每個orgin可以是String或RegExp。 * Function - 將orgin設置為自定義函數。該函數將請求源作為第一個參數，并將回調函數（signature err [object], allow [bool]）作為第二個參數。 * methods 配置Access-Control-Allow-Methods CORS頭。 以逗號分隔的字符串（例如：'GET，PUT，POST'）或數組（例如：''GET'，'PUT'，'POST']） * allowedHeaders 配置Access-Control-Allow-Headers CORS頭。 以逗號分隔的字符串（例如：'Content-Type，Authorization'）或數組（例如：''Content-Type'，'Authorization']）。 如果未指定，則默認為反映請求的Access-Control-Request-Headers header 中指定的header。 * exposedHeaders 配置Access-Control-Expose-Headers CORS頭。 以逗號分隔的字符串（例如：'Content-Range，X-Content-Range'）或數組（例如：''Content-Range'，'X-Content-Range']）。 如果未指定，則不會添加自定義header。 * credentials 配置Access-Control-Allow-Credentials CORS標頭。 設置為true則傳遞到header，否則將被省略。 * maxAge 配置Access-Control-Max-Age CORS頭。 設置為整數以傳遞header，否則將省略。 * preflightContinue 將CORS預檢響應傳遞給下一個處理程序。 * optionsSuccessStatus： 提供用于成功OPTIONS請求的狀態代碼，因為某些舊版瀏覽器會阻塞204。（IE11，各種智能電視） <br> ## 默認配置 ~~~ { "origin": "*", "methods": "GET,HEAD,PUT,PATCH,POST,DELETE", "preflightContinue": false, "optionsSuccessStatus": 204 } ~~~