托管Docker服务器上Flask与Web应用跨子域CORS错误排查求助

遇到的核心CORS错误：

Access to fetch at 'https://backend.apps.company.com/hello' from
origin 'https://frontend.apps.company.com' has been blocked by CORS policy: 
Response to preflight request doesn't pass access control check: 
No 'Access-Control-Allow-Origin' header is present on the requested resource

环境与架构说明 #

• 前后端分离架构：前端计划使用Vue，后端基于Python Flask开发
• 部署情况：前后端容器部署在同一企业托管Docker服务器，但对应不同子域名（frontend.apps.company.com/backend.apps.company.com）
• 权限限制：仅能查看CLI日志，无法直接访问容器内部

现有代码配置 #

Flask后端核心代码 #

app = Flask(__name__)
app.config["CORS_HEADERS"] = "Content-Type"

cors = CORS(app, resources={r"/*": {"origins": "https://apps.company.com"}})


@app.route("/hello")
@cross_origin(origin='apps.company.com',headers=['Content- Type','Authorization'])
def hello():
    # 省略业务逻辑

前端触发请求的JS代码 #

async function testClick(){
    
    let headers = new Headers([
        ["Content-Type","application/json"],
        ["Accept", "application/json"]
    ]);

    let request_get = new Request("https://backend.apps.company.com/hello",{
        method: "Get",
        headers: headers
    });


    let response = await fetch(request_get);
    let result = await response.json();
    // 省略后续处理

前端Dockerfile #

FROM nginx:latest

COPY html /usr/share/nginx/html
COPY nginx.conf /etc/nginx/

RUN rm /etc/nginx/conf.d/default.conf

EXPOSE 9080
CMD ["nginx", "-g", "daemon off;"]

前端nginx.conf配置 #

user  nginx;
worker_processes  auto;

error_log  /var/log/nginx/error.log notice;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;
    server {
        listen 9080;
        root /usr/share/nginx/html;
        index index.html;
        server_name    localhost;
    }

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

已尝试的无效操作 #

• 测试多种flask-cors配置：全局CORS(app)、全局@cross_origin()装饰器、resources={r"/*": {"origins": "*"}}，本地测试有效但部署后完全无效
• 公司内网通过curl访问后端容器，触发登录重定向
• 检查前端OPTIONS请求响应，返回502空响应
• 开启flask-cors调试日志，本地有输出但托管环境CLI无相关日志

排查方向建议（需平台工程师协助） #

1. 验证反向代理的CORS策略：
   • 确认容器前的反向代理/企业网关是否拦截了OPTIONS预请求，或自行添加CORS头导致后端配置失效
   • 检查代理是否正确转发了Origin请求头到后端容器
2. 确认子域名匹配规则：
   • 当前后端配置的origins为https://apps.company.com，但实际请求源是https://frontend.apps.company.com，需确认代理是否允许子域名跨域，或后端配置是否应改为https://frontend.apps.company.com（或安全范围内的通配符*.apps.company.com）
3. 排查502错误根源：
   • OPTIONS请求返回502说明代理到后端容器的链路异常，需检查后端容器是否正常接收并处理OPTIONS请求
   • 确认代理与后端容器的网络连通性，排查端口映射、路由规则是否存在错误
4. 日志层级排查：
   • 申请查看反向代理层的访问日志与错误日志，确认OPTIONS请求的完整处理流程
   • 确认后端容器的应用日志是否被代理层截断，导致无法查看CORS相关处理日志
5. 容器直连测试：
   • 请求平台工程师在服务器内部直接访问后端容器的/hello接口，检查响应头是否包含正确的Access-Control-Allow-Origin

内容的提问来源于stack exchange，提问作者chimpsociety