两个App Engine服务间的CORS及IAP认证异常问题求助

问题场景 #

同一Google App Engine（GAE）项目下的两个服务：

• 运行在GAE灵活环境的Flask后端（子域名：https://backend-dot-project.ew.r.appspot.com）
• 运行在GAE标准环境的Vue.js前端（子域名：https://frontend-dot-project.ew.r.appspot.com）
  二者均受IAP（身份感知代理）策略保护，允许相同用户访问。

错误现象 #

前端发起业务请求时，控制台抛出CORS错误：

Access to XMLHttpRequest at 'https://accounts.google.com/o/oauth2/v2/auth?client_id={blablabla}' (redirected from 'https://backend-dot-project.ew.r.appspot.com/get_data') from origin 'https://frontend-dot-project.ew.r.appspot.com' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

• 网络请求返回302临时重定向状态码
• 后端日志未接收到get_data请求
• 特殊触发条件：手动访问一次后端子域名后，问题自动消失；删除浏览器Cookie后问题重现，需再次访问后端恢复

已执行操作 #

• 在Google Cloud控制台开启IAP的HTTP预飞行选项
• 前端AJAX请求配置{ withCredentials: true }
• Flask后端配置CORS：

  CORS(main, resources={r"/*": {"origins": 'https://frontend-dot-project.ew.r.appspot.com'}}, supports_credentials=True)
  

核心原因 #

当用户浏览器未持有后端服务的IAP认证Cookie时，IAP会直接将请求重定向到Google OAuth登录页，但该登录页未配置允许前端域名的CORS响应头，导致浏览器拦截重定向后的请求。手动访问后端后，浏览器会获取并存储后端的IAP认证Cookie，后续请求无需触发重定向，直接通过IAP验证到达后端，此时后端的CORS配置生效。

解决方案 #

1. 前端程序化触发后端IAP认证 #

在前端初始化阶段，先发起一个无业务逻辑的后端请求（如/ping）触发IAP认证流程，确保浏览器获取到后端的IAP Cookie后，再发起业务请求：

// Vue.js 示例：在App.vue的created钩子中实现
async created() {
  // 先触发后端IAP认证
  try {
    await fetch('https://backend-dot-project.ew.r.appspot.com/ping', {
      credentials: 'include'
    });
    // 认证完成后初始化业务请求
    this.initBusinessRequests();
  } catch (error) {
    // 处理登录异常，比如提示用户完成登录
  }
}

后端只需新增一个简单的/ping接口：

@app.route('/ping')
def ping():
    return 'pong', 200

2. 配置IAP自定义CORS与重定向规则 #

在Google Cloud控制台的IAP配置中，针对后端服务补充以下设置：

• 进入IAP页面，找到后端服务并点击「编辑」
• 滚动到CORS设置区域，添加前端域名到Access-Control-Allow-Origin列表
• 勾选Access-Control-Allow-Credentials选项
• 可选：设置自定义登录重定向页面，将重定向目标指向你自己控制的页面（需配置允许前端域名的CORS头），完成OAuth登录后再跳回前端，确保浏览器同时持有前后端的IAP Cookie

3. 验证IAP与后端CORS配置一致性 #

确保IAP层面的CORS配置和后端自身的CORS配置完全匹配：

• 两者的Access-Control-Allow-Origin都必须包含前端域名
• 都必须开启supports_credentials（或Access-Control-Allow-Credentials）

内容的提问来源于stack exchange，提问作者codinghurts