fix login cors deployment config

2026-05-16 15:00:23 +08:00
parent 90ed11c4da
commit 7eb29346c8
3 changed files with 27 additions and 1 deletions
@@ -23,3 +23,27 @@
 - 风险与关注点：
  - GitHub 仓库需预先配置 `REGISTRY_USERNAME` / `REGISTRY_PASSWORD` Secrets，否则构建登录阶段会失败。
  - 若未来镜像仓库或命名空间变化，只需更新仓库 Variables `REGISTRY` / `REGISTRY_NAMESPACE`，无需再改工作流逻辑。
+
+## Work Log - 登录接口跨域拦截定位与修复（2026-05-16）
+
+- 背景：
+  - 用户反馈 `http://223.109.142.84:3000/fl` 可打开，但登录时报错。
+  - 现场前端 bundle 实际将 API 基址写死为 `http://127.0.0.1:8000`，运行时会改写为当前主机 `223.109.142.84:8000`。
+  - 在线 `api` 容器实际运行于另一份部署目录 `/opt/fquiz/deploy/pro-deploy`，其 `API_CORS_ORIGINS` 仅允许 `https://quiz.example.com`。
+
+- 本次改动：
+  - `/opt/git/fquiz/deploy/pro-deploy/.env`
+    - 将 `NEXT_PUBLIC_API_BASE_URL` 从 `https://quiz.example.com/api` 修正为 `https://quiz.example.com`，避免未来重发版后前端把接口拼成 `/api/api/v1/...`。
+  - 在线部署 `/opt/fquiz/deploy/pro-deploy/.env.prod`
+    - 将 `API_CORS_ORIGINS` 调整为 `https://quiz.example.com,http://223.109.142.84:3000`。
+    - 使用现有镜像强制重建 `api` 容器，使新的 CORS 白名单立即生效。
+
+- 验证：
+  - `curl -i http://127.0.0.1:8000/health` 返回 `200 OK`。
+  - `curl -i -X OPTIONS http://127.0.0.1:8000/api/v1/auth/login -H 'Origin: http://223.109.142.84:3000' -H 'Access-Control-Request-Method: POST'`
+    返回 `200 OK`，且响应头包含 `access-control-allow-origin: http://223.109.142.84:3000`。
+  - `curl -i -X POST http://127.0.0.1:8000/api/v1/auth/login -H 'Origin: http://223.109.142.84:3000' -H 'Content-Type: application/json' --data '{"user_id":"admin","password":"wrong-password"}'`
+    返回 `401 Unauthorized`，同时保留 `access-control-allow-origin: http://223.109.142.84:3000`，说明跨域链路已打通，剩余仅取决于账号密码本身。
+
+- 风险与关注点：
+  - 在线 `api` 仍配置 `REFRESH_COOKIE_SECURE=true`；若继续通过纯 HTTP IP 访问，刷新 token cookie 可能不会被浏览器持久化。短期内不影响本次“登录预检被拦截”的修复，但后续若要稳定保留登录态，建议切到 HTTPS 域名访问，或在明确接受风险的前提下改为 `false`。