建站新手必避的7大运维坑：第5个90%人忽略

文章配图，仅供参考

　　第5个坑？就是HTTP响应头里那个Access-Control-Allow-Origin写死了号，还顺手把Credentials配成true。我说完这句话的时候，窗外开始下雨，雨点斜着砸在机房西侧玻璃上，啪嗒、啪嗒、啪嗒——不是连续的，中间断了十八秒。老周没抬头，用无尘布擦他刚拧松的RAID卡散热片螺丝，第三颗，铝制的，有点发蓝。

　　我原以为他们至少会读MDN上那句红字警告：“当Credentials为true时，origin不可为通配符”。结果呢？他们抄了GitHub上一个2018年的Gist，连注释都没删，“// TODO: production fix this”还留在header.js里。更绝的是，他们测试时用的全是localhost:3000调自家API，连mock server都跑在同域——这哪是测CORS，这是给Chrome开绿灯做亲子鉴定。

　　那个站上线后第四天，运维组小张——就是总在钉钉群发“收到”的那个，戴黑框眼镜，右耳钉偶尔反光——在查前端报错日志时发现372次401返回来自/submit订单接口。他截图甩群里：“是不是JWT过期了？”没人回。我捞了条真实请求链：Vue devtools抓包显示Origin是https://mall-2025.example.com，但服务端返回的Header是Access-Control-Allow-Origin: ；Access-Control-Allow-Credentials: true。我截图发过去，群里静了五分钟。期间保洁阿姨推着吸尘器从走廊经过，吸尘器声音低频嗡——嗡……嗡……嗡……突然停了，她弯腰系鞋带，鞋带是荧光绿的。

　　90%人忽略？我敢打包票。你去翻上季度末我们扫过的237个中小建站模板，含Vue/React SPA的有164个，其中131个在.env.production里把VUE_APP_API_BASE_URL配成/api，然后后端nginx反向代理全走/，结果跨域逻辑全压在前端——不，是压在开发者对fetch({credentials: 'include'})那一行代码的侥幸心上。这玩意儿没日志、没告警、用户点了提交只看到“网络错误”，连F12 Network tab都懒得显出CORS rejected红字，因为浏览器干脆不发出去。

　　前天我还见一客户，用Webflow导出静态页再套个Cloudflare Worker改头——Worker里写的fetch('https://api.xxx.com/user', {credentials: 'include'})，结果Cloudflare自动加的CORS头是默认策略，不配Access-Control-Allow-Credentials就等于白写。他盯着Workers面板发呆，嘴里念叨“明明本地能过”，桌上放着半盒凉透的黄焖鸡米饭，酱汁凝成琥珀色油块。

　　优胜劣汰不是玄学。去年七月我跟安全组打赌，拿内部漏洞赏金池里的1500块押注：三个月内必有新手因这个配置被拖库。赌注还没兑，八月十二号下午，某母婴SAAS后台API被爆破出三百七十二个用户token，泄露源头就是那个带credentials的号CORS头，配合前端没清理的localStorage.getItem('auth')明文存token。对方没黑服务器，就在Chrome控制台敲了三行JS。

　　老周后来修完马桶回来，蹲那儿重刷nginx配置，一边敲vim一边问我：“那如果非要支持多子域呢？”我说配个白名单数组，按Host头动态匹配Origin，别手写if ($http_origin ~ (xxx|yyy))。他哦了一声，指甲缝里还有硅脂，顺手把桌上我喝剩的冰美式杯底刮下来的糖浆刮进烟灰缸——其实没烟灰缸，是临时拿来装废热敏纸的锡箔托盘。他刮得挺认真，刮了七次。

　　这事真不能怪新人。文档写得太温柔，教程视频里主播笑着点一下“已启用CORS”，BGM是轻快钢琴曲；可实际部署时，你盯着curl -v http://prod-api/ 里返回头那行Access-Control-Allow-Origin: ，根本看不出它正在把你前端里所有带cookie的fetch请求，默默变成401哑巴弹窗。就像我昨天看见隔壁组新来的小姑娘，调试API死活不通，最后发现她Postman里Authorization字段填的是Bearer abcde…fghij，但服务器只认X-Auth-Token头——她试了四十三分钟，直到我把curl -H 'X-Auth-Token: Bearer abcde…fghij'扔过去，她眼睛亮了一下，马上又暗下去，说“原来要这样啊”，手指在键盘上悬空停了两秒，没敲下去。

　　我下周打算把这坑写进入职培训checklist，第5项，手写不许贴模板。先撕掉那张印着“全栈只需三天”的A4纸，再教他们怎么用curl -I -H 'Origin: https://fake.example.com' 看一眼真实响应头——但我不确定要不要讲清楚preflight到底啥时候触发。这事儿我说不准。反正现在，我手机备忘录里还躺着二十一条类似配置待审，都是别人提的MR。今晚先睡，明天看能不能混进他们的CI pipeline插个pre-commit hook，拦住那行Access-Control-Allow-Origin: \\。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!