如何为所有Lambda函数配置默认CORS响应头？

每次在Lambda函数里手动写CORS响应头确实挺繁琐的，其实有几种更高效的方式可以全局配置，不用重复造轮子：

1. API Gateway 全局CORS配置（最推荐） #

这是最简单直接的方法，直接在API Gateway层面统一设置CORS头，完全不用修改Lambda代码：

• 打开API Gateway控制台，选中你的目标API
• 进入资源页面，点击顶部菜单栏的操作 → 启用CORS
• 在弹出的配置窗口中：
  • 设置Access-Control-Allow-Origin为你需要的域名（测试可以用*，生产环境建议指定具体前端域名）
  • 勾选Access-Control-Allow-Credentials选项（要和前端的withCredentials对应）
  • 按需配置允许的HTTP方法、自定义请求头等
• 点击启用CORS并替换现有CORS设置，然后记得部署API生效

配置完成后，API Gateway会自动给所有响应（包括成功和错误响应）加上这些CORS头，Lambda返回的响应里有没有头都不影响，彻底解放你的代码。

2. API Gateway 网关响应自定义（精细化控制） #

如果需要针对不同状态码（比如4xx、5xx错误）设置不同的CORS规则，或者想自定义更多响应头，可以用网关响应功能：

• 在API Gateway控制台进入网关响应页面
• 找到你需要配置的响应类型（比如DEFAULT_200、DEFAULT_4XX、DEFAULT_5XX）
• 点击编辑，在响应头区域添加：

  Access-Control-Allow-Origin: your-frontend-domain.com
  Access-Control-Allow-Credentials: true
  

• 保存后部署API即可

这种方式适合需要统一处理错误响应CORS的场景，避免前端因为错误响应没有CORS头而报错。

3. Lambda层封装响应工具（代码层面复用） #

如果不想依赖API Gateway的配置，或者需要在Lambda内部保留响应头的控制权，可以用Lambda层封装一个通用的响应生成函数：
先创建一个response-helper.js文件：

exports.createSuccessResponse = (data) => {
  return {
    headers: {
      "Access-Control-Allow-Origin": "your-frontend-domain.com",
      "Access-Control-Allow-Credentials": true
    },
    statusCode: 200,
    body: JSON.stringify(data)
  };
};

exports.createErrorResponse = (statusCode, message) => {
  return {
    headers: {
      "Access-Control-Allow-Origin": "your-frontend-domain.com",
      "Access-Control-Allow-Credentials": true
    },
    statusCode,
    body: JSON.stringify({ error: message })
  };
};

把这个文件打包成Lambda层，附加到所有需要的Lambda函数上，然后在Lambda代码里直接调用：

const { createSuccessResponse } = require('/opt/response-helper');

exports.handler = async (event) => {
  // 业务逻辑处理...
  return createSuccessResponse(params.Item);
};

这样所有Lambda都能复用这个响应模板，不用每次重复写CORS头。

重要注意事项 #

• 当设置Access-Control-Allow-Credentials: true时，Access-Control-Allow-Origin不能用*，必须指定具体的前端域名，否则浏览器会拒绝响应（这是浏览器的安全规则）
• 如果同时在API Gateway和Lambda里设置了CORS头，API Gateway的配置会优先覆盖Lambda的返回头（除非你在集成响应里把PassthroughBehavior设为WHEN_NO_MATCH或NEVER）
• 生产环境尽量避免用*作为允许的源，减少跨域安全风险

内容的提问来源于stack exchange，提问作者sigmaxf