Amazon S3 üzerinde barındırılan ve CloudFront aracılığıyla sunulan kimliği doğrulanmamış bir statik web sitesi (www.example.com) AWS WAF kullanmaktadır. Site, harici bir API'ye veri ileten bir Lambda işlevini çağıran bir Amazon API Gateway uç noktasını çağıran bir kayıt formu içerir. Test sırasında, gönderim bir CORS hatasını tetikler. CloudFront kaynağı, Access-Control-Allow-Origin başlığını www.example.com olarak içerecek şekilde yapılandırılmıştır. Çözüm mimarı CORS hatasını düzeltmek için ne yapmalıdır?

CORS hatası, tarayıcının farklı bir kaynaktan (origin) gelen isteği güvenlik nedeniyle engellemesiyle oluşur. Bu senaryoda, statik web sitesi (www.example.com) bir API Gateway uç noktasına istek gönderiyor. API Gateway, isteği işleyen Lambda işlevine yönlendirir. CORS hatasını düzeltmek için, API Gateway'in www.example.com'dan gelen isteklere izin verdiğini belirtmesi gerekir. Bu, API Gateway'de CORS'u etkinleştirerek ve Access-Control-Allow-Origin başlığını www.example.com olarak ayarlayarak yapılır. S3 bucket CORS yapılandırmasını değiştirmek işe yaramaz çünkü istek S3'e değil, API Gateway'e yapılıyor. AWS WAF, CORS başlıklarını eklemek için uygun bir yer değildir; WAF daha çok güvenlik politikalarını uygulamak için kullanılır. Lambda işlevinde CORS'u etkinleştirmek tek başına yeterli değildir, çünkü tarayıcı isteği API Gateway'e yapar ve API Gateway'in yanıt başlıklarını doğru şekilde ayarlaması gerekir.