AWS HttpApi（API Gateway v2）处理Origin: null跨域请求问题

为什么你的尝试无效 #

• 直接在CorsConfiguration中添加null：API Gateway v2的Origin校验规则不允许null作为合法值，会直接返回400错误。
• 通配符*：浏览器规范中，*不匹配Origin: null（这类请求通常来自file://协议、sandbox iframe或本地无服务器环境），所以API Gateway不会返回CORS头。
• 移除CorsConfiguration后Lambda返回的头被过滤：API Gateway v2默认会拦截未在CORS配置中声明的CORS相关响应头，即使未配置全局CORS，也需要明确允许自定义头通过。

可行解决方案 #

方案1：自定义CORS配置+Lambda动态返回头 #

1. 在SAM的template.yaml中，给HttpApi配置基础CORS规则，允许所有头和方法，同时关闭凭据支持（Origin: null无法与凭据支持共存）：

Resources:
  MyHttpApi:
    Type: AWS::Serverless::HttpApi
    Properties:
      CorsConfiguration:
        AllowOrigins:
          - "*"
        AllowHeaders:
          - "*"
        AllowMethods:
          - "*"
        AllowCredentials: false

2. 在Lambda处理器中，根据请求的Origin头动态返回对应允许源：

# Python示例
import json

def lambda_handler(event, context):
    origin = event['headers'].get('origin', '*')
    # 处理Origin为null的特殊情况
    allowed_origin = 'null' if origin == 'null' else origin
    return {
        'statusCode': 200,
        'headers': {
            'Access-Control-Allow-Origin': allowed_origin,
            'Content-Type': 'application/json'
        },
        'body': json.dumps({'message': 'Success'})
    }

3. 核心逻辑：因为配置了AllowOrigins: "*"且AllowCredentials: false，API Gateway不会拦截Lambda返回的自定义Access-Control-Allow-Origin头。

方案2：完全禁用API Gateway的CORS处理 #

如果想完全让Lambda控制CORS头，需关闭API Gateway的CORS过滤逻辑：

1. 移除SAM模板中所有CorsConfiguration配置。
2. 为每个HttpApi路由的集成添加PassthroughBehavior: WHEN_NO_MATCH，确保API Gateway不拦截Lambda返回的头：

Resources:
  MyFunction:
    Type: AWS::Serverless::Function
    Properties:
      CodeUri: src/
      Handler: app.lambda_handler
      Events:
        MyApi:
          Type: HttpApi
          Properties:
            ApiId: !Ref MyHttpApi
            Path: /my-path
            Method: get
            PassthroughBehavior: WHEN_NO_MATCH
  MyHttpApi:
    Type: AWS::Serverless::HttpApi

3. 在Lambda中直接返回所有CORS头，包括处理Origin: null的情况：

import json

def lambda_handler(event, context):
    origin = event['headers'].get('origin', '*')
    return {
        'statusCode': 200,
        'headers': {
            'Access-Control-Allow-Origin': origin if origin else '*',
            'Access-Control-Allow-Methods': 'GET, POST, OPTIONS',
            'Access-Control-Allow-Headers': '*'
        },
        'body': json.dumps({'message': 'Success'})
    }

注意：这种方式下，需要自己处理OPTIONS预检请求，API Gateway不会自动生成预检响应。

关键注意事项 #

• Origin: null的请求不能和Access-Control-Allow-Credentials: true共存，浏览器会直接拒绝此类响应。
• 本地测试可通过file://协议访问页面触发Origin: null请求，验证配置效果。

内容的提问来源于stack exchange，提问作者Paul T.