Google Cloud Function（Python）POST请求缺失CORS Header问题

问题原因 #

你的代码仅在OPTIONS预检请求和不允许的HTTP方法分支中返回了CORS响应头，但实际处理业务逻辑的POST请求直接返回store_attendance的结果，没有附加任何CORS头。浏览器要求实际请求（POST）的响应也必须包含CORS相关头，否则会拦截响应并抛出跨域错误。

解决方案 #

需要确保POST请求的响应也带上定义好的CORS头，有两种常见实现方式：

方式1：修改store_attendance函数的返回格式

让store_attendance直接返回包含CORS头的三元组响应（body, status_code, headers）：

def store_attendance(request):
    # 原有业务逻辑：读取请求JSON、存储到MongoDB...
    data = request.get_json()
    # 假设存储成功后返回JSON数据
    response_body = {"status": "success", "message": "Attendance stored"}
    
    # 复用全局定义的CORS头
    headers = {
        'Access-Control-Allow-Origin': '*',
        'Access-Control-Allow-Methods': 'POST',
        'Access-Control-Allow-Headers': 'Content-Type'
    }
    return (response_body, 200, headers)

方式2：在主函数中统一处理POST响应的头

如果不想修改store_attendance的实现，可以在main函数的POST分支中，将CORS头附加到store_attendance的返回结果上：

@functions_framework.http
def main(request):
    # 为所有路由启用CORS
    headers = {
        'Access-Control-Allow-Origin': '*',
        'Access-Control-Allow-Methods': 'POST',
        'Access-Control-Allow-Headers': 'Content-Type'
    }

    if request.method == 'OPTIONS':
        return ('', 204, headers)

    # 根据HTTP方法调用对应的函数
    if request.method == 'POST':
        attendance_response = store_attendance(request)
        # 处理不同格式的返回结果
        if isinstance(attendance_response, tuple):
            # 若返回的是(body, status, resp_headers)结构，合并CORS头
            body, status_code, resp_headers = attendance_response
            resp_headers.update(headers)
            return (body, status_code, resp_headers)
        else:
            # 若返回的是纯文本/JSON字符串，默认200状态码并附加CORS头
            return (attendance_response, 200, headers)
    else:
        return ('Method Not Allowed', 405, headers)

关键说明 #

• 浏览器的CORS机制要求：预检请求（OPTIONS）和实际请求（如POST）的响应都必须包含必要的CORS头，二者缺一不可。
• 如果你需要更严格的跨域控制，可以将Access-Control-Allow-Origin从*改为具体的前端域名（如https://your-frontend.com），提升安全性。

内容的提问来源于stack exchange，提问作者Karl Chertoff