CORS

​

概述

​

允许的源

​

为新 Edge Function 添加 CORS

import { getCorsHeaders, isDisallowedOrigin } from './_cors.js';

export default async function handler(req) {
  const cors = getCorsHeaders(req);

  // 1. Block disallowed origins
  if (isDisallowedOrigin(req)) {
    return new Response(JSON.stringify({ error: 'Forbidden' }), {
      status: 403,
      headers: { 'Content-Type': 'application/json', ...cors },
    });
  }

  // 2. Handle preflight
  if (req.method === 'OPTIONS') {
    return new Response(null, { status: 204, headers: cors });
  }

  // 3. Spread cors into every response
  return new Response(JSON.stringify(data), {
    headers: { 'Content-Type': 'application/json', ...cors },
  });
}

1. 每个响应都必须在其头中包含 ...cors——包括错误、限流 429 和 500 响应。
2. 预检（OPTIONS）必须返回 204，带 CORS 头且无响应体。
3. getCorsHeaders(req, methods) ——如果端点支持 GET, OPTIONS 之外的方法（例如 'POST, OPTIONS'），请传入自定义方法字符串。

​

Sebuf Gateway（RPC 端点）

​

添加新的允许源

1. 在 api/_cors.js 和 server/cors.ts 两个文件中的 ALLOWED_ORIGIN_PATTERNS 里添加正则表达式模式。
2. 更新 api/_cors.test.mjs 中的测试。
3. 如果该源是新的生产子域名，还需将其添加到 Cloudflare R2 CORS 规则中（参见仓库根目录中 MEMORY.md 关于 R2 CORS 的说明）。

​

允许的请求头

• Content-Type
• Authorization
• X-WorldMonitor-Key（用于桌面/第三方访问的 API key）。密钥管理详情请参见 API Key 门控。
• X-Api-Key
• X-Widget-Key
• X-Pro-Key
• X-WorldMonitor-Desktop-Timestamp
• X-WorldMonitor-Desktop-Signature
• Mcp-Session-Id
• MCP-Protocol-Version
• Last-Event-ID

​

Railway Relay CORS