Rack CORS配置正则匹配origin不生效的原因及解决方法

问题表现 #

配置Rack::Cors处理CORS跨域时，需要允许所有前缀为1~6位数字的zdusercontent.com子域名发起请求。按照文档传入正则配置后功能失效，接口返回无Access-Control-Allow-Origin头的错误；改用固定域名列表配置时功能正常。
运行时错误信息：

Failed to load https://100200.app.zdusercontent.com: No 'Access-Control-Allow-Origin' header is present on the requested resource.

参考配置 #

可正常运行的固定域名配置 #

config.middleware.insert_before 0, Rack::Cors do
  allow do
    origins %w[100200.apps.zdusercontent.com 222334.apps.zdusercontent.com ]
    resource '*', headers: :any, methods: %i[get post head]
  end
end

失效的正则配置 #

config.middleware.insert_before 0, Rack::Cors do
 allow do
   origins %w[/\Ahttps:\/\/[0-9]{1,6}\.apps\.zdusercontent\.com\z/]
   resource '*', headers: :any, methods: %i[get post head]
 end
end

潜在诱因 #

• 传参格式错误：失效配置中使用%w[]包裹正则内容，%w[]是Ruby的字符串数组字面量，最终传给origins参数的是一个内容为正则文本的普通字符串，不是Ruby原生正则对象，Rack::Cors会按精确字符串匹配逻辑处理该值，完全无法触发正则匹配逻辑。
• 正则匹配范围错误：手动在正则中加入了https:\/\/协议匹配规则，但Rack::Cors内部会自动剥离Origin头中的协议部分，仅将域名传入正则匹配，额外加的协议规则会导致匹配失败。
• 域名拼写不匹配：错误信息中出现的请求域名是100200.app.zdusercontent.com（app为单数），而正则中写的是apps.zdusercontent.com（apps为复数），即使正则格式正确也会因为域名拼写不一致匹配失败。
• 锚点适配问题：如果Rack::Cors对传入的域名做了额外预处理（比如自动加端口、处理www前缀），手动写死的\A、\z完整字符串锚点可能和预处理后的字符串格式不兼容，导致匹配失败。

排查修复步骤 #

1. 修正传参格式：不要用字符串数组包裹正则，直接向origins传入Ruby原生正则对象即可，不需要给正则加斜杠包裹、也不需要放进%w[]数组。
2. 调整正则规则：移除正则中手动写的协议匹配部分，仅保留域名匹配规则，同时核对实际请求的域名拼写，确保正则规则和真实请求域名一致。
3. 使用修正后的配置：

config.middleware.insert_before 0, Rack::Cors do
  allow do
    # 匹配1~6位数字开头的apps子域名，如无特殊需求不需要额外加协议匹配
    origins /\A[0-9]{1,6}\.apps\.zdusercontent\.com\z/
    resource '*', headers: :any, methods: %i[get post head]
  end
end

4. 提前校验正则有效性：修改配置后可以在Rails控制台执行匹配测试，确认规则符合预期：

# 预期返回true，匹配合法业务域名
/\A[0-9]{1,6}\.apps\.zdusercontent\.com\z/.match?("100200.apps.zdusercontent.com")
# 预期返回false，拦截非法域名
/\A[0-9]{1,6}\.apps\.zdusercontent\.com\z/.match?("evil-apps.zdusercontent.com")

5. 核对真实请求头：打开浏览器开发者工具，在网络面板找到对应跨域请求，查看请求头中Origin字段的实际值，确认其域名部分和正则规则完全匹配，无额外端口、后缀等差异。

内容的提问来源于stack exchange，提问作者seanberlin