通过Cloudflare连接AWS Lightsail应用遭遇重定向循环及CORS问题求助

应用结构 #

• 基于NodeJS的容器化应用，用ExpressJS运行HTTP服务器（监听3000端口）
  • 后端CORS配置的Allowed-Origin为https://frontend.domain.com
• AWS Lightsail容器部署：
  • 开放3000端口的HTTP协议
  • 自带公域：https://name.rng.region.cs.amazonlightsail.com，已完成TLS证书验证
• CloudFront配置：
  • 通过CNAME将https://backend.domain.com路由到上述Lightsail公域
  • 已启用代理，SSL/TLS加密模式设为Flexible，开启强制HTTPS

已排查到的异常 #

• 前端通过fetch请求https://backend.domain.com时：
  • OPTIONS预检请求返回“CORS does not succeed”
  • 后续POST请求返回“NS_ERR_DOM_BAD_URI”
  • Lightsail容器日志无任何请求记录，说明请求根本没到达后端实例
• 直接访问https://backend.domain.com时出现重定向循环，无法显示预期的“Health check successful!”（但直接访问Lightsail公域正常）

问题根源 #

1. CloudFront Flexible SSL模式引发重定向循环：Flexible模式下，CloudFront用HTTPS接收前端请求，但会用HTTP转发给后端。而Lightsail的公域是HTTPS配置，会把HTTP请求强制重定向到HTTPS，导致CloudFront反复收到重定向指令，形成循环，请求永远到不了后端容器。
2. CORS配置未生效：因为请求被重定向循环拦截，根本没到达后端，所以后端的Allowed-Origin配置完全没起作用，浏览器的预检请求直接失败。
3. NS_ERR_DOM_BAD_URI是衍生错误：由重定向循环导致浏览器无法处理无效的URI跳转，根源还是SSL模式配置错误。

修正步骤 #

1. 调整CloudFront的SSL/TLS加密模式 #

• 把CloudFront的SSL/TLS加密模式从Flexible改为Full（如果用的是Lightsail自带的AWS信任证书），或者Full (strict)（更安全，要求后端证书是公开信任的）
• 这样CloudFront会用HTTPS和后端Lightsail公域通信，匹配后端的HTTPS配置，彻底解决重定向循环。

2. 配置CloudFront的请求转发规则 #

• 在CloudFront的行为设置中，确保转发所有请求头（至少要包含Origin头，CORS预检必须依赖这个头判断来源）
• 针对OPTIONS方法设置不缓存：在行为的缓存策略里，添加规则排除OPTIONS请求的缓存，避免预检请求被缓存导致后续CORS错误。

3. 确认后端Express的CORS配置 #

• 确保Express的CORS中间件配置覆盖必要的请求方法和头，示例代码：

const cors = require('cors');
app.use(cors({
  origin: 'https://frontend.domain.com',
  methods: ['GET', 'POST', 'OPTIONS'],
  allowedHeaders: ['Content-Type'],
  credentials: true // 前端带Cookie时需要开启
}));

• 注意：不要自定义拦截OPTIONS请求，Express的CORS中间件会自动处理预检请求并返回200响应。

4. 验证路由与缓存 #

• 在CloudFront控制台测试源站连接，确认能正常访问Lightsail公域的健康检查页面
• 手动清除CloudFront的缓存，避免旧的重定向规则残留影响测试

5. 分步验证 #

• 先直接访问https://backend.domain.com，确认能正常显示健康检查内容，无重定向循环
• 再测试前端的fetch请求，查看浏览器网络面板：OPTIONS请求返回200，POST请求正常响应，CORS错误消失

内容的提问来源于stack exchange，提问作者Towelmonkey