fix: вход за прокси Caddy (forwarded headers, 403 CORS) #3

2026-10-17T22:30:07+02:00

Liosha84 commented

2026-10-17 22:30:07 +02:00

За Caddy Jambotron приложение видело http, а браузер работал по https: запросы со своего домена выглядели кросс-доменными, и CORS отвечал 403 на /api/auth/signin.

server.forward-headers-strategy: framework — приложение учитывает X-Forwarded-Proto/Host
app.origin можно задать через APP_ORIGIN
nginx фронта передаёт X-Forwarded-Proto от Caddy, а не свой http

🤖 Generated with Claude Code

За Caddy Jambotron приложение видело http, а браузер работал по https: запросы со своего домена выглядели кросс-доменными, и CORS отвечал 403 на `/api/auth/signin`. - `server.forward-headers-strategy: framework` — приложение учитывает `X-Forwarded-Proto`/`Host` - `app.origin` можно задать через `APP_ORIGIN` - nginx фронта передаёт `X-Forwarded-Proto` от Caddy, а не свой `http` 🤖 Generated with [Claude Code](https://claude.com/claude-code)

Liosha84 added 1 commit 2026-10-17 22:30:10 +02:00

fix: trust proxy forwarded headers so login works behind Caddy 7f2c1ec282

Behind Jambotron's Caddy the app saw http while the browser used https,
so same-domain requests looked cross-origin and @CrossOrigin answered
403 on /api/auth/signin. server.forward-headers-strategy=framework makes
the app use X-Forwarded-Proto/Host; app.origin can be set via APP_ORIGIN.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

Liosha84 merged commit 781a1d3fc9 into main

2026-10-17 22:30:15 +02:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: jambotron_gang/demo-decoupled#3