通过CloudFront路由到ElasticBeanstalk的REST API无响应如何排查

1. 路径重写规则排查 #

• 首先确认APIOrigin对应的CloudFront行为（Behavior）路径配置：如果路径模式匹配规则为/api/*且未配置路径重写，请求转发到ALB时会携带/api前缀，ALB实际收到的请求路径为/api/health而非你直接访问的/health，大概率会返回404异常
• 检查是否配置了非预期的Origin Request Policy修改了请求路径，导致转发路径不符合预期

2. 回源协议与请求头配置排查 #

• 确认CloudFront回源协议和ALB监听器配置匹配：如果ALB仅开放HTTP 80端口，CloudFront配置HTTPS回源会直接失败，反之同理
• 检查Origin Request Policy配置是否开启了Host头转发：部分ALB或Express服务会做Host头校验，CloudFront默认回源不携带原始Host头，会触发服务端拦截
• 确认缓存策略未过滤必要的请求头、查询参数，导致服务端无法正常解析请求

3. 网络与访问控制规则排查 #

• 检查ALB安全组入站规则，是否放行了CloudFront的公网出口IP段，或者是否关联了CloudFront托管前缀列表放行规则
• 确认ALB、EB环境未配置WAF规则误拦截CloudFront转发的请求
• 查看ALB访问日志，确认CloudFront的请求是否到达ALB、返回的实际状态码是多少，和CloudFront返回的状态码做对比定位问题层级

4. 服务端请求校验排查 #

• 可临时在Express全局中间件中打印所有收到的请求路径、请求头信息，确认CloudFront转发的请求内容是否符合预期
• 根据返回的异常提示缩小范围：404优先排查路径前缀问题，502/503优先排查回源连通性与协议配置，403优先排查安全组、WAF、Host头校验规则

内容的提问来源于stack exchange，提问作者Eric