Express 5 中的 CORS 与 Helmet

这是一套面向后端初学者的实战教程。它不把安全响应头当作一串需要背诵的配置，而是从浏览器收到响应之后会做什么讲起，再把 Helmet、CORS、Nginx 和 Express 放进同一套部署架构中理解。

适用环境：Node.js 22 及以上、Express 5、TypeScript、CommonJS 编译输出。

先记住三个结论

1. Helmet 不能确保应用绝对安全。 它通过响应头约束浏览器行为，降低 XSS、点击劫持、MIME 嗅探等风险，但不能代替认证、授权、参数校验和数据库安全。
2. CORS 不是接口访问控制。 它决定浏览器是否允许某个网页中的 JavaScript 读取跨源响应，curl、Postman 和其他服务器程序不会因此被挡住。
3. Helmet 和 CORS 通常可以一起使用。 真正容易出问题的是 CSP、CORP、COEP、凭据模式、缓存以及 Nginx 与 Express 重复设置响应头。

阅读路线

第一部分：浏览器安全与 Helmet

1. 浏览器安全模型：同源、跨源与响应头
2. Helmet 到底保护什么
3. Helmet 响应头完整速查
4. Helmet 配置方法与 Express 5 实战
5. 前后端分离架构中 Helmet 到底影响谁

第二部分：CORS

1. CORS 的工作原理
2. CORS 响应头详细说明
3. Express cors 中间件的使用方法
4. Helmet 与 CORS 的关系及冲突排查

第三部分：工程落地

1. 中间件顺序与错误响应
2. Nginx 与 Express 的 Header 职责划分
3. 防范测试正常、上线失败
4. 实战：本地前后端分离开发
5. 实战：生产环境 Nginx + Express
6. 实战：文件、图片、下载与第三方资源
7. 推荐配置模板
8. 常见错误与排查手册
9. Header 速查表与上线检查表
10. 练习题与综合作业

建议的学习方式

不要只复制配置。每学一个 Header，都用浏览器开发者工具的 Network 和 Console 观察行为，并用 curl -i 对照原始响应。浏览器报错是浏览器执行安全策略后的结果，服务器日志则说明请求是否真正到达；两边结合才能定位问题。

本教程中的开发配置不是可以原样套用到所有生产环境的“万能安全模板”。上线前要根据页面资源来源、认证方式、域名结构和 Nginx 配置逐项验证。