WSO2 APIM 4.5.0实际响应缺失CORS头，Content-Disposition无法暴露？

问题描述 #

我有一个通过调用REST API端点下载文件的Web应用，该端点部署在WSO2 API Manager（WSO2 APIM）之后。从WSO2 APIM 4.2.0升级到4.5.0后，CORS行为出现异常：

• 预检（OPTIONS）请求正常完成，响应包含预期的Access-Control-Allow-Headers和Access-Control-Expose-Headers
• 实际的文件下载GET请求响应中不再包含这些CORS头，导致浏览器不暴露Content-Disposition头，Web应用无法通过JavaScript访问该头
• 浏览器开发者工具的网络标签中能看到GET响应里的Content-Disposition头，但因实际响应的Access-Control-Expose-Headers为空，即使在deployment.toml中已配置，也无法在JavaScript中读取
• 该场景在4.2.0版本中正常工作——预检和实际请求均带有正确的CORS头

当前未修改的deployment.toml中的CORS配置如下：

[apim.cors]
enable = true
allow_origins = "*"
allow_methods = ["GET","PUT","POST","DELETE","PATCH","OPTIONS"]
allow_headers = ["authorization","Access-Control-Allow-Origin","Content-Type","SOAPAction","apikey","Internal-Key","X-serv-Sales-Channel-Code","X-serv-Terminal-Code","X-serv-APISYS,X-serv-Auth","X-serv-Device-Secret","X-serv-RenderNullFields"]
expose_headers = ["Content-Disposition", "Content-Type", "Content-Language", "WWW-Authenticate"]
allow_credentials = false

问题分析与解决方案 #

1. WSO2 APIM 4.5.0的CORS处理行为变化 #

WSO2 APIM 4.5.0对CORS处理逻辑做了调整：默认情况下，CORS头只会添加到预检请求（OPTIONS）和被判定为CORS请求的简单/非简单请求中，但对于返回Content-Disposition: attachment的文件下载响应，APIM会将其识别为「非CORS请求」，从而跳过CORS头的添加。

这是因为APIM 4.5.0新增了对Content-Disposition为attachment的响应的特殊处理逻辑，默认认为这类响应是直接触发浏览器下载，而非由JavaScript处理，因此不添加CORS暴露头。

2. 解决配置方法 #

要让实际的GET下载请求也返回配置的CORS暴露头，需要在deployment.toml中新增强制添加CORS头的配置：

[apim.cors]
# 原有配置保持不变
enable = true
allow_origins = "*"
allow_methods = ["GET","PUT","POST","DELETE","PATCH","OPTIONS"]
allow_headers = ["authorization","Access-Control-Allow-Origin","Content-Type","SOAPAction","apikey","Internal-Key","X-serv-Sales-Channel-Code","X-serv-Terminal-Code","X-serv-APISYS,X-serv-Auth","X-serv-Device-Secret","X-serv-RenderNullFields"]
expose_headers = ["Content-Disposition", "Content-Type", "Content-Language", "WWW-Authenticate"]
allow_credentials = false

# 新增配置：强制对所有符合CORS条件的请求添加CORS头，忽略响应类型
force_cors_headers = true

添加force_cors_headers = true后，APIM会忽略响应的Content-Disposition类型，只要请求符合CORS规则（包含Origin头），就会在响应中添加配置的Access-Control-Expose-Headers等CORS头。

3. 验证步骤 #

1. 保存修改后的deployment.toml
2. 重启WSO2 APIM服务
3. 发起文件下载的GET请求，通过浏览器开发者工具检查响应头，确认Access-Control-Expose-Headers已包含Content-Disposition
4. 在Web应用的JavaScript代码中尝试读取response.headers.get('Content-Disposition')，确认能正常获取到值

内容的提问来源于stack exchange，提问作者Teodor Mysko