CORS per REST API in Gateway API

CORS (Cross-origin resource sharing) è una caratteristica di sicurezza del browser che limita le richieste HTTP multiorigine avviate da script in esecuzione nel browser. Per ulteriori informazioni, consulta Che cos'è CORS?

Determinazione della necessità di abilitare il supporto di CORS

Una richiesta HTTP multiorigine è una richiesta effettuata a:

Se non riesci ad accedere all'API e ricevi un messaggio di errore che contiene Cross-Origin Request Blocked, potresti dover abilitare CORS.

Le richieste HTTP multiorigine possono essere di due tipi: richieste semplici e richieste non semplici.

Abilitazione di CORS per una richiesta semplice

Una richiesta HTTP è semplice se si verificano tutte le condizioni seguenti:

Per richieste di metodo POST multiorigine semplici, la risposta della risorsa deve includere l'intestazione Access-Control-Allow-Origin: '*' o Access-Control-Allow-Origin:'origin'.

Tutte le altre richieste HTTP multiorigine sono richieste non semplici.

Abilitazione di CORS per una richiesta non semplice

Se le risorse dell'API ricevono richieste non semplici, è necessario abilitare il supporto CORS aggiuntivo a seconda del tipo di integrazione.

Abilitazione di CORS per integrazioni non proxy

Per questo tipo di integrazioni, il protocollo CORS richiede al browser di inviare una richiesta preliminare al server e di attendere l'approvazione (o una richiesta di credenziali) del server prima di inviare la richiesta effettiva. È necessario configurare l'API per inviare una risposta appropriata alla richiesta di verifica preliminare.

Creazione di una risposta di verifica preliminare

Dopo aver creato la richiesta di verifica preliminare, è necessario restituire l'intestazione Access-Control-Allow-Origin: '*' o Access-Control-Allow-Origin:'origin' per tutti i metodi abilitati per CORS per almeno tutte le 200 risposte.

Abilitazione di CORS per integrazioni non proxy utilizzando la AWS Management Console

È possibile utilizzare la AWS Management Console per abilitare CORS. Gateway Amazon API crea un metodo OPTIONS e aggiunge l'intestazione Access-Control-Allow-Origin alle risposte di integrazione del metodo esistente. Questo non sempre funziona e talvolta è necessario modificare manualmente la risposta di integrazione per restituire l'intestazione Access-Control-Allow-Origin di tutti i metodi abilitati per CORS per almeno tutte le 200 risposte.

Se i tipi di supporti binari sono impostati su */* per l’API, quando Gateway API crea un metodo OPTIONS, modificare contentHandling in CONVERT_TO_TEXT.

Il comando update-integration seguente modifica contentHandling in CONVERT_TO_TEXT per una richiesta di integrazione:

aws apigateway update-integration \
  --rest-api-id abc123 \
  --resource-id aaa111 \
  --http-method OPTIONS \
  --patch-operations op='replace',path='/contentHandling',value='CONVERT_TO_TEXT'

Il comando update-integration-response seguente modifica contentHandling in CONVERT_TO_TEXT per una risposta di integrazione:

aws apigateway update-integration-response \
  --rest-api-id abc123 \
  --resource-id aaa111 \
  --http-method OPTIONS \
  --status-code 200 \
  --patch-operations op='replace',path='/contentHandling',value='CONVERT_TO_TEXT'

Abilitazione del supporto di CORS per le integrazioni proxy

Per un'integrazione proxy Lambda o un'integrazione con proxy HTTP, il back-end è responsabile della restituzione delle intestazioni Access-Control-Allow-Origin, Access-Control-Allow-Methods e Access-Control-Allow-Headers , perché un'integrazione proxy non restituisce una risposta di integrazione.

Le seguenti funzioni Lambda di esempio restituiscono le intestazioni CORS richieste:

Node.js

export const handler = async (event) => {
    const response = {
        statusCode: 200,
        headers: {
            "Access-Control-Allow-Headers" : "Content-Type",
            "Access-Control-Allow-Origin": "https://www.example.com",
            "Access-Control-Allow-Methods": "OPTIONS,POST,GET"
        },
        body: JSON.stringify('Hello from Lambda!'),
    };
    return response;
};

Python 3

import json

def lambda_handler(event, context):
    return {
        'statusCode': 200,
        'headers': {
            'Access-Control-Allow-Headers': 'Content-Type',
            'Access-Control-Allow-Origin': 'https://www.example.com',
            'Access-Control-Allow-Methods': 'OPTIONS,POST,GET'
        },
        'body': json.dumps('Hello from Lambda!')
    }