原因: egg 框架内置了安全系统,默认开启防止 XSS 攻击 和 CSRF 攻击。 在Security的默认拦截器里,默认会开启CSRF处理,判断请求是否携带了token,如果没有就拒绝访问。并且,在请求为(GET|HEAD|TRACE|OPTIONS)时,则不会开启 解决方案: 在config.default.js中添加如下红框配置: config.security = { csrf: { enable: false, }, };