// 当设置成允许请求携带cookie时，需要保证"Access-Control-Allow-Origin"是服务器有的域名，而不能是"*";
ctx.set("Access-Control-Allow-Credentials", true);
// 该字段可选，用来指定本次预检请求的有效期，单位为秒。
// 当请求方法是PUT或DELETE等特殊方法或者Content-Type字段的类型是application/json时，服务器会提前发送一次请求进行验证
// 下面的的设置只本次验证的有效时间，即在该时间段内服务端可以不用进行验证
ctx.set("Access-Control-Max-Age", 300);
/*
CORS请求时，XMLHttpRequest对象的getResponseHeader()方法只能拿到6个基本字段：
Cache-Control、
Content-Language、
Content-Type、
Expires、
Last-Modified、
Pragma。
*/
// 需要获取其他字段时，使用Access-Control-Expose-Headers，
// getResponseHeader('myData')可以返回我们所需的值
//https://www.rails365.net/articles/cors-jin-jie-expose-headers-wu
ctx.set("Access-Control-Expose-Headers", "myData");
await next();
})
相对用得较多是的大神封装好得koa-cors中间件，可以自行查看npm上得文档，在这个项目中用的就是koa-cors的中间件，基本的配置写在cors.js里面了，再通过中间件进行引用。注意要写在router前面，避免在没有进行跨域配置前就去请求接口。
app.js中的引用，记得安装引入koa-cors
// cors
app.use(cors(corsHandler))
'use strict'const corsHandler = {
origin: function (ctx) {
if (ctx.url === '/test') {
// 这里可以配置不运行跨域的接口地址
return false;
}
return '*';
},
exposeHeaders: ['WWW-Authenticate', 'Server-Authorization'],
maxAge: 5,
credentials: true,
allowMethods: ['GET', 'POST', 'DELETE'],
allowHeaders: ['Content-Type', 'Authorization', 'Accept'],
}
module.exports = {
corsHandler
}
koa-helmet 中间件
koa-helmet 可以帮助你的 app 抵御一些比较常见的安全 web 安全隐患，它其实是将 9 个安全中间件集中到了一起，做了合并,大部分都是对于 http header 的操作，下图为默认开启的功能。
在项目中使用先安装该中间件，
npm i koa-helmet --save ,该项目中直接引用默认配置即可，如果有需要，可以看官方文档自己进行配置。
const helmet = require("koa-helmet")// Helmet
app.use(helmet())
其他中间件
koa的中间件可以说很多大神给我们做好了轮子，我们直接可以拿来用就行，例如：
