AWS HTTP API Gateway出现No 'Access-Control-Allow-Origin'头CORS错误求助

排查步骤1：确认HTTP API Gateway的CORS配置有效性 #

• 先核对CORS核心设置：Access-Control-Allow-Origin设为*（或你指定的域名），允许方法要包含你实际用的GET/POST等，请求头要覆盖你fetch里带的所有字段（比如Content-Type）。
• 配置完必须手动重新部署API，自动部署偶尔会有延迟，等部署状态显示完成再测试。

排查步骤2：修正Lambda响应格式 #

虽然AWS说Lambda的响应头会被网关覆盖，但如果Lambda返回格式不对，网关可能无法正常注入CORS头：

• 强制Lambda返回标准结构的响应，哪怕是错误场景也要捕获异常返回：

  import json
  
  def lambda_handler(event, context):
      try:
          # 你的业务逻辑
          data = {"key": "value"}
          return {
              "statusCode": 200,
              "headers": {
                  "Access-Control-Allow-Origin": "*"  # 可保留，网关会覆盖但格式要对
              },
              "body": json.dumps(data)
          }
      except Exception as e:
          return {
              "statusCode": 500,
              "headers": {
                  "Access-Control-Allow-Origin": "*"
              },
              "body": json.dumps({"error": str(e)})
          }
  

排查步骤3：解决本地file://协议的特殊限制 #

你遇到的origin 'null'是因为直接打开本地HTML文件（file://协议），浏览器对这种场景的CORS限制更严：

• 改用本地服务器测试，比如用Python快速起一个：

  python3 -m http.server 8000
  

  然后通过http://localhost:8000访问页面，此时origin变为http://localhost:8000，可以在API网关CORS配置里添加这个域名作为允许源。

排查步骤4：验证API网关的实际响应头 #

用curl直接调用API，看响应头里有没有Access-Control-Allow-Origin：

curl -I https://你的APIID.execute-api.区域.amazonaws.com/你的路径

如果这里也没有这个头，说明网关的CORS配置确实没生效，重新检查配置并再次部署。

排查步骤5：排除其他组件干扰 #

• 如果API前面挂了CloudFront，要在CloudFront行为设置里配置CORS，或者确保它转发网关返回的CORS头。
• 检查AWS WAF规则，有没有拦截OPTIONS预检请求（浏览器发起CORS请求前会先发OPTIONS，这个请求必须返回正确的CORS头）。

内容的提问来源于stack exchange，提问作者BAM