Ошибка «Отправка межсайтовых POST-форм запрещена» из SvelteKit в режиме разработки, когда используются origin и x-forwarded

У меня есть приложение SvelteKit, работающее на http://localhost:5173 (при локальной разработке) с Nginx перед ним, работающим на http://localhost:8057, обслуживающим некоторые статические файлы и проксирующие запросы, которые должны обрабатываться SvelteKit.

У меня есть форма входа в http://localhost:8057/login, и когда я отправляю ее, я получаю веб-страницу с надписью «Отправка кросс-сайтовых форм POST запрещена».

Я попытался использовать переменную среды ORIGIN в соответствии с Отправка форм POST между сайтами запрещена и https://kit.svelte.dev/docs/adapter-node#environment-variables. Вот мой .env файл:

ORIGIN=http://localhost:8057

Я вижу эту переменную среды в своей среде, если я регистрирую env из import { env } from '$env/dynamic/private'; на стороне сервера. Но я все еще получаю сообщение «Отправка межсайтовых форм POST запрещена».

Я также пытался передать переменную окружения при запуске SvelteKit (с помощью ORIGIN=http://localhost:8057 npm run dev), но результат тот же.

Поскольку SvelteKit не очень много записывает в журнал, когда отправляет эту ошибку, я могу просто попытаться угадать, что происходит внутри SvelteKit, но если в Nginx я добавлю proxy_set_header Origin http://localhost:5173;, тогда это сработает, поэтому довольно ясно, какое происхождение SvelteKit ожидает здесь. Однако я бы предпочел не делать этого, потому что это в значительной степени эквивалентно отключению защиты CSRF.

Затем я попытался использовать другой метод, предложенный в https://kit.svelte.dev/docs/adapter-node#environment-variables, то есть использовать x-forwarded-proto и x-forwarded-host, так что теперь вот мой .env файл ( и снова я могу определенно увидеть эти значения, если я зарегистрирую их в своем приложении):

PROTOCOL_HEADER=x-forwarded-proto
HOST_HEADER=x-forwarded-host
ORIGIN=http://localhost:8057

и в моей конфигурации Nginx (то самое место, где замена заголовка Origin все исправит):

location @sveltekit {
  proxy_pass http://localhost:5173;
  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-Host $host;
}

И я все еще получаю сообщение «Отправка кросс-сайтовых форм POST запрещена». Любая идея, что еще я мог бы попробовать?

На случай, если люди захотят увидеть или запустить код:

• https://gitlab.com/cedricvanrompay/mazette/-/commit/bfa59261b8e5e5c95ac0bec37524a878cd815e91
• docker-compose up --build для запуска Nginx
• cd web-app; npm run dev для запуска приложения SvelteKit (сначала может потребоваться npm install)
• на Mac вам придется отменить эту фиксацию из-за того, что сетевой режим хоста докера не работает на Mac: