为何请求同时包含客户端浏览器UA与EC2实例Origin？

• Origin头的本质不是客户端IP
  Origin HTTP头的作用是标识请求发起的页面所在的源（Scheme + Host + Port），这是浏览器同源策略判断跨域的核心依据，和发起请求的客户端机器IP没有任何关联。客户端IP是请求的网络层来源，通常通过X-Forwarded-For等代理头传递，二者属于完全不同的HTTP头范畴。

• 结合你的场景具体分析
  你的前端页面部署在EC2实例上，完整流程是：

  1. 客户端浏览器向EC2的Nginx发起请求，获取到EC2上的前端页面资源；
  2. 浏览器加载该页面后，页面内的JavaScript代码向EC2上的Meilisearch发起API调用；
     此时这个API请求的Origin就是当前页面的源——也就是EC2实例的IP，因为请求是从浏览器加载的EC2页面中发起的，而非客户端本地页面。而User-Agent是浏览器自带的标识，会带上客户端浏览器的信息，二者并不冲突。

• 验证方法
  你可以在Chrome开发者工具的「网络」面板中查看该请求的「发起者（Initiator）」字段，会明确显示这个请求是由EC2实例上加载的JS文件触发的，进一步佐证Origin的来源。

内容的提问来源于stack exchange，提问作者Gaurav Varma