启用IAP后App Engine前后端认证及CORS报错解决方案咨询

一、先修复IAP下的CORS预请求失败问题 #

IAP会拦截OPTIONS预请求，后端必须配置正确的CORS响应头才能让浏览器通过验证：

1. Node.js后端代码配置（推荐用cors中间件）

   const cors = require('cors');
   app.use(cors({
     origin: 'https://foobar.ey.r.appspot.com', // 替换为你的前端域名
     credentials: true,
     allowedHeaders: ['Authorization', 'Content-Type'],
     methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS']
   }));
   

2. 或在backend服务的app.yaml中添加HTTP头配置

   runtime: nodejs20
   service: backend
   handlers:
   - url: /.*
     script: auto
     secure: always
     http_headers:
       Access-Control-Allow-Origin: "https://foobar.ey.r.appspot.com"
       Access-Control-Allow-Methods: "GET, POST, PUT, DELETE, OPTIONS"
       Access-Control-Allow-Headers: "Authorization, Content-Type"
       Access-Control-Allow-Credentials: "true"
   

   注意：必须指定精确的前端域名，不能用通配符*，否则浏览器会拒绝带凭证的跨域请求。

二、利用前端已有IAP会话验证后端请求（无需额外认证逻辑） #

用户通过IAP登录前端后，浏览器会自动存储IAP会话Cookie，只需配置前端请求携带凭证，IAP会自动完成后端请求的身份验证：

1. 前端请求配置
   • Fetch示例：

     fetch('https://backend-dot-foobar.ey.r.appspot.com/api/data', {
       credentials: 'include',
       headers: { 'Content-Type': 'application/json' }
     });
     

   • Axios示例：

     axios.get('https://backend-dot-foobar.ey.r.appspot.com/api/data', {
       withCredentials: true
     });
     

2. 后端IAP权限配置
   移除allUsers的"IAP-secured Web App User"权限，仅给需要访问后端的用户/组授予该权限。IAP会自动拦截所有后端请求，验证会话有效性，只有通过验证的请求才会到达你的Node.js代码。
3. 获取用户信息
   若需要在后端获取用户身份，可直接读取IAP注入的请求头：
   • X-Goog-Authenticated-User-Email：已认证用户邮箱
   • X-Goog-Authenticated-User-ID：已认证用户ID

三、GCP特性转发会话的可行性 #

完全可以通过IAP原生特性实现会话转发，不需要额外自定义认证逻辑。核心依赖IAP的跨域Cookie机制和自动身份验证能力，这是GCP官方推荐的多服务认证方案，无需自己实现JWT或会话管理。

四、关键注意事项 #

• 前后端服务必须属于同一个GCP项目，且均已启用IAP
• 确保浏览器没有禁用第三方Cookie（IAP会话Cookie属于跨域第三方Cookie）
• 测试前清除浏览器缓存，避免旧的无效Cookie干扰

内容的提问来源于stack exchange，提问作者Basti