JavaScript无法配置Access-Control-Expose-Headers，因为它是服务端响应头，由服务器设置、浏览器校验，客户端无权修改或伪造；前端只能读取后端已暴露的自定义响应头。

要在 JavaScript 中让前端能读取跨域响应里的自定义头，不能靠 JavaScript 自己配置 Access-Control-Expose-Headers——这个头必须由服务器在 HTTP 响应中设置。JavaScript 只能“读取”，不能“写入”或“添加”它。

为什么 JS 无法配置这个头

Access-Control-Expose-Headers 是一个服务端响应头，浏览器只信任服务器返回的该字段内容。JavaScript 运行在客户端，无权修改响应头，也无法绕过同源策略去“伪造”暴露权限。即使你用 fetch 或 XMLHttpRequest 发起请求，最终能否读取 X-Request-ID、X-Total-Count 等字段，完全取决于后端是否在响应中包含：

• Access-Control-Expose-Headers: X-Request-ID, X-Total-Count

前端能做的实际操作

前端虽然不能设置该头，但可以正确发起请求并安全读取已暴露的头：

• 确保跨域请求使用 fetch 或 XMLHttpRequest，而非不支持头读取的旧方法（如 JSONP）
• 检查响应状态为 200–299，再调用 response.headers.get('X-Total-Count')
• 注意大小写：HTTP 头名不区分大小写，但建议按服务端返回的原始拼写调用（如 X-Total-Count 不要写成 x-total-count）
• 若返回 null，大概率是后端没配 Access-Control-Expose-Headers，不是前端代码问题

常见后端配置方式（供前后端协作参考）

当发现前端读不到某个响应头时，需推动后端补充暴露配置：

Yarn - Control and Access Threads.com via the CLI

通过 yarn-threads-cli 与 Threads（Meta）交互。当用户想要阅读首页动态、点赞、收藏的帖子或特定帖子时使用；查看...

下载

立即学习“Java免费学习笔记（深入）”；

• ASP.NET Core：在 Program.cs 的 CORS 策略中加 .WithExposedHeaders("X-Pagination", "X-Rate-Limit")
• Nginx：在 location 块中加 add_header Access-Control-Expose-Headers "X-Request-ID, X-Total-Count";
• Express（Node.js）：用中间件设置 res.header('Access-Control-Expose-Headers', 'X-User-Id, Content-Range')
• Python（Flask/FastAPI）：通过响应对象或全局中间件添加该响应头

验证是否生效的小技巧

打开浏览器开发者工具 → Network → 找到对应请求 → 查看 Response Headers 部分，确认是否存在：

• Access-Control-Expose-Headers 字段，且值包含你要读的头名
• Access-Control-Allow-Origin 已正确设置（否则连响应体都拿不到）

只有这两个头都存在且合法，response.headers.get() 才会返回真实值，而不是 null。