App Engine IAP处理AJAX请求返回405错误，自定义API调用遇同类问题

我之前在部署App Engine灵活环境的Express应用时，也碰到过和你几乎一样的问题——IAP认证正常，但AJAX调用自己的API就返回405。结合我的排查经验，给你几个具体的解决方向：

1. 优先处理CORS预检（OPTIONS）请求 #

浏览器发起AJAX POST/PUT/DELETE等非简单请求时，会先发送OPTIONS预检请求，如果你的Express服务器没有正确响应OPTIONS请求，就会直接返回405。

解决方法：

• 安装cors中间件：npm install cors
• 在Express中配置CORS，允许预检请求，同时确保包含IAP相关的头：

const cors = require('cors');

// 配置CORS，允许自定义头和预检请求
app.use(cors({
  origin: true, // 或者指定你的前端域名
  allowedHeaders: ['Content-Type', 'X-Goog-IAP-JWT-Assertion'],
  credentials: true,
  optionsSuccessStatus: 200
}));

// 或者手动处理OPTIONS请求（如果不想用cors包）
app.options('*', (req, res) => {
  res.header('Access-Control-Allow-Origin', req.headers.origin);
  res.header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
  res.header('Access-Control-Allow-Headers', 'Content-Type, X-Goog-IAP-JWT-Assertion');
  res.sendStatus(200);
});

2. 检查IAP签名头验证逻辑是否拦截了OPTIONS请求 #

如果你的Express中间件里强制验证X-Goog-IAP-JWT-Assertion头，要注意OPTIONS预检请求不会携带这个头，直接验证会导致请求被拦截，返回405或401。

修改验证中间件，跳过OPTIONS请求：

function verifyIapHeader(req, res, next) {
  // 跳过OPTIONS预检请求
  if (req.method === 'OPTIONS') {
    return next();
  }
  // 这里是你的IAP签名验证逻辑
  const iapJwt = req.headers['x-goog-iap-jwt-assertion'];
  if (!iapJwt) {
    return res.sendStatus(401);
  }
  // 验证逻辑...
  next();
}

// 应用中间件
app.use(verifyIapHeader);

3. 确认Express路由的HTTP方法匹配 #

405错误最直接的原因是请求方法和路由定义的方法不匹配，比如AJAX用POST请求，但你的路由只定义了GET：

错误示例：

// 只处理GET请求
app.get('/api/user', (req, res) => { ... });
// 但AJAX用了POST，就会返回405

解决：确保路由的HTTP方法和AJAX请求完全一致，比如：

// 处理POST请求
app.post('/api/user', (req, res) => { ... });

4. 检查App Engine灵活环境的app.yaml配置 #

如果app.yaml的handlers配置有误，可能会把API请求误路由到静态资源处理，导致方法不允许。比如：

正确的配置示例：

runtime: nodejs18 # 替换成你的Node.js版本
env: flex

handlers:
# 路由API请求到Express
- url: /api/.*
  script: auto
  secure: always
  redirect_http_response_code: 301

# 路由静态资源请求
- url: /
  static_files: public/index.html
  upload: public/index.html
  secure: always
  redirect_http_response_code: 301

- url: /(.*)
  static_files: public/\1
  upload: public/(.*)
  secure: always
  redirect_http_response_code: 301

确保/api/.*的handler设置为script: auto，这样才会交给Express处理，而不是当作静态资源返回。

内容的提问来源于stack exchange，提问作者dadykhoff