Google cloud platform 限制访问我的后端的困难

我目前有一个GKE集群运行我的前端（Angular）和后端（Nodejs/Adonisjs），我使用这个条件用允许策略配置了云装甲

request.headers['origin'].matches('https://subdomain.domain.cl')

返回HTTP代码403效果很好，但如果我使用Postman进行查询，将原始标头设置为绕过Cloud Armor的安全性

---

由于我的前端在客户端运行，我没有允许连接的静态ip地址，我能做些什么来解决这个问题？

您能实现CORS来允许和限制域吗

比如说

var express = require('express')
var cors = require('cors')
var app = express()
 
var corsOptions = {
  origin: 'http://example.com',
  optionsSuccessStatus: 200 // some legacy browsers (IE11, various SmartTVs) choke on 204
}

---

要仅从允许，您可以实现CORS以允许和限制域

比如说

var express = require('express')
var cors = require('cors')
var app = express()
 
var corsOptions = {
  origin: 'http://example.com',
  optionsSuccessStatus: 200 // some legacy browsers (IE11, various SmartTVs) choke on 204
}

---

只允许从

开始，我认为邮递员会用其他内容覆盖原始标题。你能在你的后端（我相信是在你附加了云装甲安全策略的loadbalancer后面）记录并验证origin头的值吗？我想邮递员会用其他东西覆盖origin头。您能否在后端记录并验证origin头的值（我相信它位于您附加了云装甲安全策略的loadbalancer后面）