前端 fetch('/api/users') 控制台却打印出完整 index.html 源码——这不是网络错误，而是请求被登录/鉴权过滤器拦截后重定向至首页，导致响应体为 HTML，JSON.parse() 或 .json() 方法直接崩溃。本文直击根因、提供可复现的调试路径，并给出 Express 场景下零侵入、高兼容的修复方案。
前端 `fetch('/api/users')` 控制台却打印出完整 `index.html` 源码——这不是网络错误，而是请求被登录/鉴权过滤器拦截后重定向至首页，导致响应体为 html，`json.parse()` 或 `.json()` 方法直接崩溃。本文直击根因、提供可复现的调试路径，并给出 express 场景下零侵入、高兼容的修复方案。
你遇到的问题非常典型：浏览器控制台中 console.log(users) 输出的是整段 ... 字符串，而非预期的 JSON 数组。这说明：你的 /api/users 请求根本没走到 app.get('/api/users', ...) 这个路由处理器，而是被某个中间件（极大概率是未显式声明的鉴权/会话过滤器）提前拦截，并返回了 index.html —— 也就是你根路径 '/' 的静态页面。
✅ 验证方法（立刻执行）：
在浏览器地址栏直接访问http://localhost:8080/api/users。如果看到的是index.html内容（或弹窗/跳转），而非[{"id":"123","name":"Shaun"},...]，就 100% 确认：请求被中间件劫持并降级为页面请求响应。
? 根本原因：Express 中“无感”的请求类型混淆
你的 server.js 当前代码看似干净，但真实生产环境（或某些脚手架模板、身份验证库如 express-session + connect-flash、甚至 Vite/HMR 开发代理配置）常隐含如下逻辑：
// ⚠️ 伪代码：常见但危险的鉴权中间件（你可能没写，但它在某处）
app.use((req, res, next) => {
if (!req.session?.user && !isApiRequest(req)) {
// ❌ 错误：对所有未登录请求都重定向到 '/'
return res.redirect('/');
}
next();
});问题核心在于：它未区分 AJAX 请求（fetch/axios）和普通页面导航请求。当会话过期或未登录时，它对 fetch('/api/users') 也返回 302 Redirect → '/'，而浏览器会自动跟随重定向——最终 fetch 收到的响应是 index.html 的 HTML 文本，而非原始接口的 JSON。
这也是为什么 res.text() 打印出 HTML：因为响应体确实是 HTML；而若你改用 res.json()，会立刻抛出 SyntaxError: Unexpected token ' —— 因为 <code>JSON.parse('...') 必然失败。
立即学习“前端免费学习笔记（深入）”；
✅ 正确修复：让过滤器“懂” AJAX
你需要在鉴权中间件中明确识别 fetch 请求（通过请求头 X-Requested-With: XMLHttpRequest 或更现代的 Accept: application/json），并针对其返回结构化错误响应，而非 HTML 重定向：
// ✅ 推荐：在所有路由前添加智能鉴权中间件（放在 app.use(express.json()) 之后）
app.use((req, res, next) => {
const isApiRequest =
req.headers.accept?.includes('application/json') ||
req.headers['x-requested-with'] === 'XMLHttpRequest';
if (!req.session?.user) {
if (isApiRequest) {
// ✅ AJAX 请求：返回 JSON 错误 + 401 状态码
return res.status(401).json({ error: 'Unauthorized', message: 'Login required' });
} else {
// ✅ 页面请求：才重定向
return res.redirect('/login');
}
}
next();
});? 关键点：
fetch默认不发送X-Requested-With，但现代浏览器会自动设置Accept: application/json（当调用.json()时）。你也可以显式添加：fetch('/api/users', { headers: { 'Accept': 'application/json' } })
? 前端健壮性增强（防御性编程）
即使后端修复完成，前端也应主动校验响应类型，避免静默失败：
// main.jsx（优化版）
import React from 'react';
import ReactDOM from 'react-dom/client';
async function loadUsers() {
try {
const res = await fetch('/api/users');
// ✅ 关键校验：检查响应是否为 JSON
const contentType = res.headers.get('content-type');
if (!contentType || !contentType.includes('application/json')) {
throw new Error(`Expected JSON, but got ${contentType}. Status: ${res.status}`);
}
if (!res.ok) {
throw new Error(`HTTP ${res.status}: ${res.statusText}`);
}
const users = await res.json();
console.log('✅ Users loaded:', users);
return users;
} catch (err) {
console.error('❌ Failed to load users:', err);
// 可在此触发登录弹窗、跳转登录页等
}
}
loadUsers();
ReactDOM.createRoot(document.getElementById('root')).render(
<div>test</div>
);? 补充说明：关于答案中 dangerouslySetInnerHTML 的误区
你提供的答案建议使用 dangerouslySetInnerHTML={{ __html: "" }} —— 这是完全错误的方向。该 API 用于将字符串作为 HTML 插入 DOM，与解决「API 返回 HTML 而非 JSON」的问题毫无关系，且滥用会引发严重 XSS 漏洞。请彻底忽略此建议。
✅ 验收清单（修复后必查）
| 检查项 | 方法 | 期望结果 |
|---|---|---|
| 1. 直接访问接口 | 浏览器打开 http://localhost:8080/api/users
|
返回纯 JSON 数组（无 HTML 标签），状态码 200
|
| 2. 检查响应头 | DevTools → Network → /api/users → Headers |
Content-Type: application/json; charset=utf-8 |
| 3. 模拟未登录 | 清除 session 或临时注释 req.session.user
|
返回 401 Unauthorized + JSON 错误体，绝不重定向
|
| 4. 前端 fetch 日志 | 查看控制台 | 输出解析后的数组对象，而非 HTML 字符串 |
⚠️ 注意：如果你使用 Vite 开发服务器（
vite dev），它默认启用了开发代理（server.proxy）。确保vite.config.js中已正确代理 API 到localhost:8080，否则请求可能被 Vite 自身拦截并返回index.html（常见于vite --host或 HTTPS 场景）。代理配置示例：// vite.config.js export default defineConfig({ server: { proxy: { '/api': 'http://localhost:8080' } } })
修复的本质，不是让前端“适应”HTML，而是让后端中间件具备语义感知能力——区分机器可读（API）与人类可读（页面）两类请求，并给予匹配的响应契约。这既是安全底线，也是专业 Web 工程的分水岭。
