AWS CDK配置API Gateway CORS是否自动生效于子资源

核心结论 #

你在/products资源上调用addCorsPreflight()添加的CORS规则，默认仅对当前路径层级生效，不会自动应用到/products/{productId}这类下属子资源，子资源需要单独调用该方法配置CORS规则。

底层逻辑说明 #

addCorsPreflight方法的实现逻辑非常直接：CDK只会在你调用方法的当前Resource对象下，自动创建一个绑定OPTIONS方法的Mock集成，同时配置好CORS相关的响应头（包括Access-Control-Allow-Origin、Access-Control-Allow-Methods等），整个过程不会递归遍历当前资源下的所有子资源批量注入配置。

对应你给出的示例代码：

declare const productsResource: apigateway.Resource;

productsResource.addCorsPreflight({
  allowOrigins: [ 'https://amazon.com' ],
  allowMethods: [ 'GET', 'PUT' ]
});

这段配置生成的OPTIONS方法仅会匹配/products路径的预检请求。当浏览器向/products/{productId}发起跨域请求时，会自动向该子路径发起OPTIONS预检请求，此时子路径因为没有配置对应的CORS预检逻辑，会直接触发跨域拦截。

实操建议 #

• 如果你需要给某路径下所有层级的子资源配置完全一致的CORS规则，可以自行实现简单的递归遍历逻辑，遍历资源节点下的所有子资源统一调用addCorsPreflight，减少重复代码
• 如果不同子路径需要差异化的CORS规则（比如部分路径开放更多请求方法、允许额外的跨域来源），直接针对对应资源单独配置即可

内容的提问来源于stack exchange，提问作者Alex Agranov