Fastly端点CORS请求被拒问题排查求助

• 确认Fastly配置的有效性

  • 检查Fastly的CORS标头规则是否精准匹配Active Storage的路径：你的请求路径为/rails/active_storage/blobs/redirect/...，需确保Fastly的策略覆盖该路径，而非仅应用于根路径或其他不匹配的路径。
  • 清理缓存：若该路径已被缓存，无CORS标头的旧缓存内容可能仍在生效，需在Fastly控制台或通过API手动Purge对应条目，命令示例：purge https://myapp.com/rails/active_storage/blobs/redirect/aBcD--redacted--/image_0123456789.pdf

• 检查Rails Active Storage的CORS配置

  • 在项目config/initializers/cors.rb中，确保配置覆盖Active Storage路径，示例：

    Rails.application.config.middleware.insert_before 0, Rack::Cors do
      allow do
        origins 'https://www.myapp.com' # 建议指定具体源，而非使用*
        resource '/rails/active_storage/**',
          headers: :any,
          methods: [:get, :options, :head],
          expose: ['Content-Disposition'] # 如需支持文件下载，需暴露该标头
      end
    end
    

  • 将更新后的配置部署到Heroku，重启应用生效。

• 验证响应标头

  • 用curl直接请求资源，确认Access-Control-Allow-Origin标头是否存在：

    curl -I https://myapp.com/rails/active_storage/blobs/redirect/aBcD--redacted--/image_0123456789.pdf
    

  • 若curl返回的标头包含该字段，问题大概率在Fastly的缓存或路径匹配；若未包含，说明Rails端配置未生效。

• 处理重定向目标的CORS配置

  • Active Storage的redirect路径会跳转至实际存储服务（如S3），需确保跳转后的目标资源也配置了正确的CORS规则。以AWS S3为例，在桶的CORS配置中添加：

    <CORSConfiguration>
      <CORSRule>
        <AllowedOrigin>https://www.myapp.com</AllowedOrigin>
        <AllowedMethod>GET</AllowedMethod>
        <AllowedHeader>*</AllowedHeader>
      </CORSRule>
    </CORSConfiguration>
    

内容的提问来源于stack exchange，提问作者Meltemi