시스템 관리_30 리버스 프록시 Nginx 및 Apache 환경 CORS Access-Control-Allow-Origin 헤더 오류 완벽 해결 가이드

# 1. 실제 Origin 헤더를 주입하여 GET 요청 시 Access-Control-Allow-Origin 헤더 반환 여부 확인
$ curl -I -H "Origin: https://frontend.example.com" https://api.example.com/v1/users
# [정상 출력 예시]
# HTTP/1.1 200 OK
# Access-Control-Allow-Origin: https://frontend.example.com
# Access-Control-Allow-Credentials: true

# [비정상 출력 예시 - 헤더 누락]
# HTTP/1.1 200 OK
# (Access-Control-* 관련 헤더가 일절 반환되지 않음 -> 브라우저가 응답 차단)

# [비정상 출력 예시 - 중복 헤더 충돌 (Nginx와 WAS 둘 다 추가한 경우)]
# HTTP/1.1 200 OK
# Access-Control-Allow-Origin: https://frontend.example.com, https://frontend.example.com
# -> 브라우저 콘솔: "contains multiple values ..., but only one is allowed" 에러 발생

# 2. 브라우저 사전 요청(Preflight) 시뮬레이션: OPTIONS 메서드 검증
$ curl -I -X OPTIONS \
  -H "Origin: https://frontend.example.com" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: Authorization,Content-Type" \
  https://api.example.com/v1/orders
# [정상 출력 예시]
# HTTP/1.1 204 No Content (또는 200 OK)
# Access-Control-Allow-Origin: https://frontend.example.com
# Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS
# Access-Control-Allow-Headers: Authorization, Content-Type
# Access-Control-Max-Age: 86400

# 3. Nginx 설정에서 CORS 관련 add_header 지시어 구성 상태 검색
$ sudo nginx -T 2>/dev/null | grep -inE "add_header.*Access-Control"

#!/bin/bash
# test_cors_headers.sh - Verify and diagnose CORS response headers from Reverse Proxy

TARGET_URL=${1:-"https://api.example.com/api/test"}
TEST_ORIGIN=${2:-"https://frontend.example.com"}

echo "=========================================="
echo " [CORS 헤더 구성 및 사전요청(Preflight) 진단]"
echo " 대상 API URL  : ${TARGET_URL}"
echo " 테스트 Origin : ${TEST_ORIGIN}"
echo "=========================================="

# 1. 일반 GET 요청을 통한 CORS 헤더 점검
echo -e "\n[1] 일반 GET 요청 헤더 검사:"
GET_HEADERS=$(curl -s -I -H "Origin: ${TEST_ORIGIN}" "${TARGET_URL}")
ALLOW_ORIGIN=$(echo "$GET_HEADERS" | grep -i "^Access-Control-Allow-Origin:" | tr -d '\r')

if [ -z "$ALLOW_ORIGIN" ]; then
    echo "  [오류] 'Access-Control-Allow-Origin' 헤더가 응답에 없습니다."
    echo "  -> 원인: 프록시 또는 백엔드에 CORS 허용 설정 누락."
else
    echo "  [확인] $ALLOW_ORIGIN"
    ORIGIN_COUNT=$(echo "$GET_HEADERS" | grep -ic "^Access-Control-Allow-Origin:")
    if [ "$ORIGIN_COUNT" -gt 1 ]; then
        echo "  [위험] Access-Control-Allow-Origin 헤더가 ${ORIGIN_COUNT}번 중복 선언되었습니다!"
        echo "  -> Nginx와 백엔드(Spring, Express 등) 양쪽에서 헤더를 이중으로 추가 중인지 점검 필요."
    fi
fi

# 2. OPTIONS Preflight 요청 점검
echo -e "\n[2] OPTIONS Preflight(사전 요청) 검사:"
OPTIONS_RES=$(curl -s -I -X OPTIONS \
  -H "Origin: ${TEST_ORIGIN}" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: Content-Type,Authorization" \
  "${TARGET_URL}")

HTTP_STATUS=$(echo "$OPTIONS_RES" | grep -E "^HTTP/" | awk '{print $2}' | head -n 1)
OPT_ALLOW_ORIGIN=$(echo "$OPTIONS_RES" | grep -i "^Access-Control-Allow-Origin:" | tr -d '\r')
OPT_METHODS=$(echo "$OPTIONS_RES" | grep -i "^Access-Control-Allow-Methods:" | tr -d '\r')
OPT_HEADERS=$(echo "$OPTIONS_RES" | grep -i "^Access-Control-Allow-Headers:" | tr -d '\r')

echo "  - OPTIONS 응답 상태 코드: ${HTTP_STATUS:-"응답 없음"}"
if [ "$HTTP_STATUS" != "200" ] && [ "$HTTP_STATUS" != "204" ]; then
    echo "  [경고] Preflight 응답 코드가 200/204가 아닙니다 (현재: ${HTTP_STATUS}). 브라우저가 Preflight에서 요청을 차단할 수 있습니다."
fi

if [ -n "$OPT_ALLOW_ORIGIN" ]; then
    echo "  - $OPT_ALLOW_ORIGIN"
    echo "  - ${OPT_METHODS:-"Access-Control-Allow-Methods 누락"}"
    echo "  - ${OPT_HEADERS:-"Access-Control-Allow-Headers 누락"}"
else
    echo "  [오류] OPTIONS 요청에 대해 Access-Control-Allow-Origin 헤더가 반환되지 않았습니다."
fi

# 3. 4xx/5xx 에러 발생 시의 헤더 유지 검증 (always 플래그 점검)
echo -e "\n[3] 에러 상태 코드 시 CORS 헤더 유지 점검:"
INVALID_URL="${TARGET_URL}/non_existing_path_for_404_check"
ERR_HEADERS=$(curl -s -I -H "Origin: ${TEST_ORIGIN}" "${INVALID_URL}")
ERR_STATUS=$(echo "$ERR_HEADERS" | grep -E "^HTTP/" | awk '{print $2}' | head -n 1)
ERR_CORS=$(echo "$ERR_HEADERS" | grep -i "^Access-Control-Allow-Origin:" | tr -d '\r')

echo "  - 404 테스트 응답 코드: ${ERR_STATUS}"
if [ -z "$ERR_CORS" ]; then
    echo "  [주의] 4xx/5xx 에러 응답 시 CORS 헤더가 누락됩니다."
    echo "  -> Nginx 설정의 add_header에 'always' 파라미터가 누락되었을 확률이 높습니다."
else
    echo "  [정상] 에러 응답 시에도 CORS 헤더가 안전하게 유지됩니다 ($ERR_CORS)."
fi

echo -e "\n=========================================="
echo " [진단 완료]"
echo "=========================================="