Omniauth 和 CVE-2015-9284，带有仅 API 的 Rails 应用程序

Question

此处记录了更新 Omniauth 以使用对 /auth/:provider 的 POST 请求：

https://github.com/omniauth/omniauth/releases/tag/v2.0.0

不幸的是，我只使用了 API 应用程序，所以我没有使用 Rails 表单助手将登录按钮更改为 POST 的简单选项。 以前，工作流程是：

1. 用户单击 client.myapp.com 上的链接，该链接对 api.myapp.com/auth/:provider 执行 GET。
2. api.myapp.com 重定向到提供者并执行身份验证。
3. api.myapp.com 重定向到 client.myapp.com 并带有有效的 Z1D1FADBD9111 已确认登录成功（假设提供者 a40349C135F81 登录成功）。

我可以按照上面文档中的要求将第一步中的 GET 替换为 POST。 然后，我在控制台中遇到以下故障（所有提供商都一样，而不仅仅是这个）：

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://api.twitter.com/oauth/authenticate?oauth_token=zR3utQAAAAAA27GpAAad32f5FTOf. (Reason: CORS request did not succeed).

我知道我的 API 服务器上的 Nginx 配置为允许开放访问，并且我对 API 的 POST 请求正在发送以下标头：

{"Accept":"application/json","Content-Type":"application/json","Cache-Control":"no-cache","Access-Control-Allow-Origin":"*"}

那么，这个 CORS 问题发生在哪里？ 也许上面步骤（2）中 API 设置的请求标头在某种程度上不再正确？ 如果是这样，我该如何修改它们？

当然，保留 GET 并抑制警告是一种选择，但我宁愿避免这种情况。

供参考：rails-6.1.2.1 devise-1bb5fcbbecfb omniauth-2.0.2 ruby 2.6.6p146

我注意到一个回复声称这是一个与 Twitter 专门相关的问题的重复； 它不是。 此问题似乎会影响其他提供商（我以 Twitter 为例），我正在寻找针对 Omniauth 配置的建议。