EB部署Node.js API已配置CORS仍出现跨域错误无法解决

你碰到的CORS报错和S3存储桶策略没有关系，核心是两个配置错误：

• S3侧CORS规则配错了适用场景：你给托管前端的S3桶配置的AllowedOrigins只填了前端自身域名，这个规则是用来控制其他源跨域访问S3上的资源的，而你的场景是前端从S3静态站点发请求到EB部署的后端API，S3本身的CORS策略根本管不到后端的响应头，配置了也不会生效。
• Elastic Beanstalk的Node.js环境默认用Nginx做反向代理，默认规则会直接拦截OPTIONS类型的预检请求，不会转发到后端Node进程，所以你在Express里写的cors中间件压根没收到预检请求，自然不会返回正确的CORS头，这是EB Node.js环境最常见的CORS坑。

1. 修正后端CORS配置 #

不要用通配符*作为允许源，明确填入前端S3静态网站的完整地址，避免后续带凭证请求、自定义头场景下的CORS校验失败，配置修改如下：

const corsOptions = {
  origin: "http://udagram-tauseef.s3-website-us-east-1.amazonaws.com",
  credentials: true,
  optionsSuccessStatus: 200,
  allowedHeaders: ["Content-Type", "Authorization", "X-Requested-With"]
}
// 注意：cors中间件必须放在所有路由定义之前加载，否则不会生效
app.use(cors(corsOptions));

2. 新增EB Nginx配置放行预检请求 #

在项目根目录创建如下结构的扩展配置文件，覆盖EB默认的Nginx规则，避免OPTIONS请求被Nginx提前拦截：

.platform/
  nginx/
    conf.d/
      cors.conf

如果你使用的是Amazon Linux 1版本的旧EB平台，需要把配置文件放到.ebextensions/nginx/conf.d/cors.conf路径下。

在cors.conf中写入以下配置，让Nginx直接正确响应OPTIONS预检请求，同时给所有响应加上要求的CORS头：

location / {
    # 直接响应OPTIONS预检请求
    if ($request_method = 'OPTIONS') {
        add_header 'Access-Control-Allow-Origin' 'http://udagram-tauseef.s3-website-us-east-1.amazonaws.com';
        add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With';
        add_header 'Access-Control-Max-Age' 3000;
        add_header 'Content-Type' 'text/plain; charset=utf-8';
        add_header 'Content-Length' 0;
        return 204;
    }

    # 给所有正常响应加上CORS头，always参数保证错误响应也会携带头信息
    add_header 'Access-Control-Allow-Origin' 'http://udagram-tauseef.s3-website-us-east-1.amazonaws.com' always;
    add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS' always;
    add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;

    # 反向代理到Node服务
    proxy_pass  http://nodejs;
    proxy_set_header   Connection "";
    proxy_http_version 1.1;
    proxy_set_header        Host            $host;
    proxy_set_header        X-Real-IP       $remote_addr;
    proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
}

3. 清理高风险无效配置 #

• S3桶的CORS规则如果没有其他跨域访问S3资源的需求，可以保留现状也可以清空，完全不影响当前前端调用后端的跨域场景。
• 你当前S3桶策略里的AllAccess规则风险极高，允许所有公网用户对桶内资源做任意操作，很容易被恶意刷流量、篡改/删除文件，建议立即删除，只保留EB服务日志写入需要的两条权限规则即可。

4. 重新部署验证 #

将修改后的后端代码和新增的.platform目录一起打包，重新部署到Elastic Beanstalk，部署完成后清空浏览器缓存再测试即可。验证时可以查看API请求的响应头，只要OPTIONS预检请求的响应里携带了匹配前端域名的Access-Control-Allow-Origin头，就代表配置生效。

内容的提问来源于stack exchange，提问作者Toseef_Ahmed