全部產品
Search
文件中心

Function Compute:HTTP觸發器概述

更新時間:Feb 12, 2026

通過 HTTP 要求觸發函數執行,適用於快速搭建 Web 服務等情境。使用前需瞭解:觸發器與 HTTP/HTTPS的使用限制;同步/非同步呼叫方式;認證鑒權與跨域(CORS)的配置方式。本文介紹上述內容及常見問題。

注意事項

  • 匿名觸發器的安全風險:若 HTTP 觸發器在配置中將認證方式選為無需認證,則不會驗證身份,任何人均可通過 HTTP 要求調用函數,存在 URL 泄露風險。可在業務中校正要求標頭 Authorization 是否合法以自行鑒權。詳見為HTTP觸發器配置簽名認證

  • APK 下載限制:根據國家網路安全監管要求,自 2024 年 6 月 10 日起,新建立的 HTTP 觸發器禁止通過公網地址下載 APK 檔案(MIME 類型為 application/vnd.android.package-archive),訪問將返回 400。詳見 如何確保HTTP觸發器公網訪問地址正常返回.apk檔案

  • VIP 輪換:Function Compute為提升系統韌性與服務穩定性實施 VIP(虛擬 IP)輪換,HTTP 觸發器提供的公網/內網訪問地址對應的 VIP 會不定期輪換。直接寫入程式碼 VIP 可能導致服務中斷,建議通過自訂網域名訪問以保證業務穩定。因不當使用 VIP 導致的故障不在Function Compute賠付範圍內。

    可通過自訂網域名搭配 CNAME 訪問,詳見配置自訂網域名

使用限制

觸發器限制

  • 每個版本或別名下最多建立一個 HTTP 類型觸發器。詳細資料,請參見版本管理別名管理

  • 內建網域名稱僅用於測試,請勿用於線上對外服務,以免受內建網域名稱穩定性影響。

    說明

    對外提供網站類服務需使用已備案的自訂網域名,將網域名稱與函數綁定後對外提供服務。更多資訊,請參見配置自訂網域名

HTTP/HTTPS協議使用限制

說明

支援GET、POST、PUT、DELETE、HEAD、PATCH和OPTIONS方式觸發函數,適用於簡單的要求-回應情境。更多資訊,請參見配置HTTP觸發器

  • HTTP Request限制

    • Request Headers不支援以x-fc-開頭的自訂欄位和以下自訂欄位。

      • connection

      • keep-alive

    • 如果Request超過以下限制,會返回400狀態代碼和InvalidArgument錯誤碼。

      • Headers大小:Headers中的所有Key和Value的總大小不得超過8 KB。

      • Path大小:包括所有的Query Params,Path的總大小不得超過4 KB。

      • Body大小:同步調用請求的Body的總大小不得超過32 MB,關於非同步呼叫請求的Body的大小,請以函數運行資源限制為準。

  • HTTP Response限制

    • Response Headers不支援以x-fc-開頭的自訂欄位和以下自訂欄位。

      • connection

      • content-length

      • date

      • keep-alive

      • server

      • upgrade

      • content-disposition:attachment

        說明

        從安全形度考慮,使用Function Compute預設的aliyuncs.com網域名稱,服務端會在Response Headers中強制添加content-disposition: attachment欄位,此欄位會使得返回結果在瀏覽器中以附件的方式下載。如果要解除該限制,需設定自訂網域名。更多資訊,請參見配置自訂網域名

    • 如果Response超過以下限制,會返回502狀態代碼和BadResponse錯誤碼。

      • Headers大小:Headers中的所有Key和Value的總大小不得超過8 KB。

與API Gateway的對比與優勢

HTTP觸發器與API Gateway觸發器均可應用於Web應用的建立。使用方式如下:

  • HTTP觸發器:您可以通過綁定自訂網域名,為HTTP函數映射不同的HTTP訪問路徑。詳細資料,請參見配置自訂網域名

  • API Gateway觸發器:您還可以使用API Gateway,後端服務類型選擇Function Compute,實作類別似功能。詳細資料,請參見使用Function Compute作為API後端服務

相較於API Gateway觸發器,HTTP觸發器有以下優勢。

  • 降低開發人員的學習成本和簡化開發人員的調試過程,協助開發人員快速使用Function Compute搭建Web應用和API。

  • 減少請求處理環節,HTTP觸發器支援更高效的請求、響應格式,不需要編碼或解碼成JSON格式,效能更優。

  • 支援選擇熟悉的HTTP測試載入器驗證Function Compute側的功能和效能。

  • 方便對接其他支援Webhook回調的服務,例如CDN回源、Simple Message Queue (formerly MNS)等。

調用方式

同步調用

同步調用指事件被函數處理後直接返回結果。HTTP觸發器預設的函數調用方式為同步調用。更多資訊,請參見同步調用

非同步呼叫

非同步呼叫指Function Compute收到請求後,將請求持久化儲存,然後立即返迴響應,而不是等待請求執行完成後,再返回執行結果。

  • 非同步呼叫:使用HTTP觸發器調用函數時,您可以通過增加要求標頭"X-Fc-Invocation-Type":"Async"的方式實現請求層級的非同步呼叫。

  • 非同步任務:HTTP函數配置了非同步任務後,您可以通過增加要求標頭"X-Fc-Async-Task-Id":"g6u*****iyvhd3jk8s6bhj0hh"完成非同步任務調用Invocation ID的配置。

關於要求標頭的更多資訊,請參見調用函數

非同步呼叫成功後,Function Compute會返回狀態代碼202,表示請求接收成功。同時會通過要求標頭返回Request ID,格式如"X-Fc-Request-Id": "80bf7****281713e1"

說明

如果Function Compute返回的狀態代碼是202以外的狀態代碼,則表示調用失敗。關於調用失敗後錯誤原因,請參見重試機制

相關文檔:

認證鑒權

Function Compute支援對HTTP觸發器配置認證鑒權。外部使用者通過HTTP觸發器訪問函數時,必須經過Function Compute的認證鑒權之後,才能訪問到函數。HTTP觸發器支援的鑒權方式如下:

CORS請求處理

Function Compute系統預設允許函數的調用請求跨域訪問,同時也支援使用者在函數代碼中自訂函數對跨域(即CORS)請求的處理行為。

簡單請求

簡單請求不會發送預檢請求,您可以直接在函數代碼中設定Access-Control-Allow-*開頭的Header,完成簡單的存取控制。對於簡單請求,Function Compute支援自訂的Headers包括:Access-Control-Allow-OriginAccess-Control-Allow-HeadersAccess-Control-Max-Age

如果您沒有自訂Headers,Function Compute的Response Headers會預設設定為Request請求中相應的欄位:

  • Access-Control-Allow-Origin:Request請求的Origin Header。

  • Access-Control-Allow-Credentials:預設取值為true

  • Access-Control-Expose-Headers:Function Compute自訂的一些Header。

非簡單請求

非簡單請求在發送正式請求前會發送預檢請求,即一次非簡單請求包含一次OPTIONS方法的函數調用請求和一次實際的函數調用請求。正式請求的規則與上文的簡單請求相同。如果您需要自訂預檢請求的返回,則需要為HTTP觸發器添加OPTIONS方法,然後在函數代碼中處理OPTIONS請求,即設定Access-Control-Allow-*開頭的Header以控制函數的跨域行為。

對於預檢請求,Function Compute支援使用者自訂的Headers包括Access-Control-Allow-OriginAccess-Control-Allow-HeadersAccess-Control-Allow-MethodsAccess-Control-Max-Age

以Node.js內建運行時為例,函數代碼中處理預檢請求的樣本如下所示:

exports.handler =  (event, context,callback) => {
      console.log('hello world');
      const method = JSON.parse(event).requestContext.http.method;
      if (method === 'OPTIONS') {
          // 設定回應標頭以處理預檢請求
          const fcResponse = {
            'statusCode': 204,
            'headers': {
              'Access-Control-Allow-Origin': 'http://www.fc.com',
              'Access-Control-Allow-Methods': 'POST',
              'Access-Control-Allow-Headers': 'Content-Type, Authorization',
              'Access-Control-Max-Age':'3600'
            },
            'body': 'hello world'
        };
        callback(null, fcResponse);
      } else {
        callback(null, {
            'statusCode': 500,
            'body': 'hello world'
        });
      }
    };

API Configured CORS

API Configured CORS 當前為邀測功能。如需開通,請聯絡我們並提供阿里雲帳號 ID(UID)。

功能說明

API Configured CORS 是Function Compute(FC)在網關層提供的能力。可在 HTTP 觸發器或自訂網域名上直接配置 CORS 策略,無需在函數代碼中編寫跨域邏輯。

核心優勢
  • 代碼更簡單:跨域邏輯與業務解耦,只需關注業務實現。

  • 成本更低:OPTIONS 預檢由網關直接響應,不觸發函數執行個體,節省執行時間長度費用。

  • 統一管理:在觸發器或網域名稱維度配置策略,便於多服務治理。

  • 響應更快:預檢結果由網關直接返回,時延更低。

適用範圍

  • API 版本:僅適用於 FC 3.0 函數(API 版本:2023-03-30)。

  • 訪問方式:HTTP 觸發器(含內建測試網域名稱)或已綁定的自訂網域名。

配置方式

通過介面更新觸發器更新自訂網域名進行配置。

CORS 配置參數

參數名稱

類型

說明

預設值

限制/約束

allowOrigins

Array

允許訪問資源的來源列表(Origin)。

-

最多 100 個,單個長度不超過 256 字元。支援 * 或 https://*

allowMethods

Array

允許的 HTTP 方法列表。

觸發器 methods

不支援手動設定 OPTIONS(由網關自動處理)。

allowHeaders

Array

允許瀏覽器發送的自訂要求標頭。

-

最多 50 個。支援使用 *

exposeHeaders

Array

允許瀏覽器擷取的回應標頭欄位。

系統預設值

最多 50 個。

allowCredentials

Boolean

是否允許跨域請求攜帶憑證(如 Cookie)。

false

為 true 時,allowOrigins 不能配置為 *

maxAge

Integer

預檢請求(OPTIONS)結果的緩衝時間長度(秒)。

3600

取值範圍:0 ~ 86400。

allowOrigins取值

  • 萬用字元 *:允許所有來源(僅當 allowCredentialsfalse 時)。

  • 萬用字元 https://*:允許所有以 https:// 開頭的來源。

  • 特定網域名稱:如 https://example.com

  • 多個網域名稱:數組形式,如 ["https://example.com", "https://app.example.com"]

  • 不支援子網域名稱萬用字元(如 https://*.example.com)。

allowMethods取值

  • 標準 HTTP 方法:GETPOSTPUTDELETEPATCHHEAD

  • 萬用字元 *:表示允許所有 HTTP 方法。

  • 不支援 OPTIONS:OPTIONS 方法由系統自動處理,用於預檢請求。

請求處理邏輯

配置 API Configured CORS 後,網關按請求類型處理:

1. 預檢請求(OPTIONS)

瀏覽器發起非簡單請求的預檢時,網關校正 OriginAccess-Control-Request-MethodAccess-Control-Request-Headers

  • 校正通過:返回 204 No Content 並注入配置的 CORS 回應標頭,不觸發函數。

  • 校正失敗

    • Origin 匹配但其他頭不匹配:網關設定基礎 CORS Header。

    • Origin 不匹配:不設定 CORS Header。

    • 請求會繼續轉寄到函數執行個體。

2. 簡單請求(GET/POST/HEAD 等)

網關僅校正 Origin

  • 校正通過:在響應中注入 Access-Control-Allow-Origin 等 Header,請求轉寄到函數執行。

  • 校正失敗:不注入 CORS Header,請求仍轉寄到函數執行。

相容性與優先順序

同一路徑可能同時存在多種 CORS 處理方式,優先順序從高到低:

  1. API Configured CORS:一旦配置,網關優先按此邏輯處理。

  2. 預設 CORS:未開啟 API Configured 時,使用內建預設跨域回顯。

  3. 函數內 CORS:函數返回的 Header 會與上述結果合并(追加),保證相容。

方案對比

特性

API Configured CORS(推薦)

預設 CORS

使用者自訂 CORS(代碼)

預檢請求是否計費

不計費(網關攔截)

可能計費

計費(觸發函數)

代碼入侵性

適用 API 版本

僅 FC 3.0

所有版本

所有版本

配置複雜度

低(一次性配置)

無需配置

高(需處理 OPTIONS 方法)

常見問題 (FAQ)

Q1:為什麼我配置了 allowMethods 包含 OPTIONS,但 API 呼叫報錯?

A:根據設計,OPTIONS 方法由Function Compute網關自動管理。您無需在 corsConfig 的 allowMethods 中手動添加 OPTIONS,系統會自動處理所有預檢請求。

Q2:配置成功後,為什麼我的 OPTIONS 請求依然返回 200 而不是 240?

A:請確認您的帳號是否已由值班同學開啟“邀測許可權”。若未完全啟用攔截外掛程式,網關會降級到“預設 CORS”邏輯(返回 200 並透傳至函數)。

Q3:allowOrigins 可以配置萬用字元子網域名稱(如 *.example.com)嗎?

A:目前不支援子網域名稱模糊比對。建議在 allowOrigins 數組中枚舉所有次層網域,或使用 https://* 進行大範圍匹配。

Q4:如果我的函數代碼裡也寫了 CORS Header,會發生衝突嗎?

A:不會衝突。網關產生的 Header 與函數返回的 Header 會合并輸出。如果存在重複,瀏覽器通常會以第一個或符合規範的值為準,但這有助於確保舊有業務在平滑遷移時不中斷。

常見問題

在哪裡可以設定監聽連接埠?

在建立函數時,選擇建立Web函數的方式建立函數時,才需要設定監聽連接埠。

函數調用時間太長,要怎麼處理?

函數出現499錯誤,用戶端主動取消請求要如何處理?

  • 出現用戶端499錯誤後函數執行個體會重啟,您可以通過配置健全狀態檢查避免執行個體重啟,具體原因及操作請參見為什麼函數出現用戶端499錯誤後函數執行個體會重啟?

  • 如果用戶端調用出現逾時情況,您可以將耗時的邏輯放在新的函數中,使用函數的非同步呼叫功能調用新的函數,或者在用戶端調用時使用非同步呼叫。

函數處於運行中,如何更新函數配置?

  • 函數執行完成後才會更新函數配置。更新函數配置後,已經在執行中的請求仍然使用原來的配置運行直到執行結束。新發起的調用請求將使用新的函數配置。

  • 刪除當前函數,建立新的函數重新設定。