AWS API Gateway集成响应中如何基于请求Origin动态设置Access-Control-Allow-Origin

问题背景 #

配置AWS API Gateway时，需根据客户端请求的Origin头动态返回Access-Control-Allow-Origin响应头。由于请求携带withCredentials = true，无法使用*作为CORS头值，且需支持多源而非单一固定源。此前在OPTIONS等方法的集成响应映射中添加了带单引号的配置，导致API Gateway将变量视为字面量，触发浏览器报错：

CORS header ‘Access-Control-Allow-Origin’ does not match ‘method.request.header.Origin’

问题1：POST、GET等方法如何动态设置Access-Control-Allow-Origin #

按以下步骤配置即可实现：

1. 方法请求配置：在目标方法（POST/GET等）的「方法请求」中，添加Origin作为请求参数（可设为「可选」或「需要」），确保API Gateway能识别该请求头变量。
2. 方法响应配置：在「方法响应」中，添加Access-Control-Allow-Origin到响应头列表，确保该头被定义。
3. 集成响应头映射：在「集成响应」的头映射区域，配置：

   method.response.header.Access-Control-Allow-Origin: method.request.header.Origin
   

   关键：不要给method.request.header.Origin加单引号，否则API Gateway会将其当作字符串字面量而非请求头变量。
4. OPTIONS方法同步配置：对OPTIONS方法执行同样的配置，同时确保Access-Control-Allow-Credentials设为true，并按需配置Access-Control-Allow-Methods、Access-Control-Allow-Headers等其他CORS头。
5. 重新部署API：所有配置修改完成后，务必将API重新部署到对应阶段，使配置生效。

问题2：集成响应阶段能否无需VTL、响应模板或Lambda实现 #

可以。只要按照上述步骤，直接在集成响应的头映射中使用无引号的method.request.header.Origin变量，即可实现动态设置，无需依赖VTL模板、响应转换或Lambda函数。核心是让API Gateway正确识别请求头变量，而非将其解析为静态字符串。

额外注意 #

若需限制仅特定可信源可跨域访问，仅靠上述配置无法实现（会返回任意请求的Origin），此时需结合Lambda授权器或VTL映射来校验请求Origin是否在白名单内。但如果业务允许信任所有请求源，直接返回请求Origin即可满足需求。

内容的提问来源于stack exchange，提问作者Lakshitha Samod