fix: add WAF rule for CORS preflight OPTIONS requests

[takaokouji]

Summary

ChromebookでmeshV2に接続する際のCORSエラーを修正しました。WAFにpreflight OPTIONSリクエスト用のルールを追加しています。

Changes

WAF Rule Addition (infra/mesh-v2/lib/mesh-v2-stack.ts)

1. AllowPreflightOptions (priority: 0) - NEW

   • HTTPメソッド: OPTIONS
   • Origin: https://smalruby.app または https://smalruby.jp
   • Action: Allow
   • Purpose: CORS preflight リクエストを許可し、AppSyncがCORSヘッダーを返せるようにする

2. AllowSpecificOrigins (priority: 1) - UPDATED

   • SingleHeader property: name → Name (CloudFormation仕様に準拠)
   • その他の動作は変更なし

Implementation Details

Fixed Issues

• SingleHeader プロパティ名を Name に修正（CloudFormation仕様）
• TextTransformationType を NONE に変更（メソッドマッチング用）

WAF Rule Behavior

Origin	Method	WAF Action	Result
https://smalruby.app	OPTIONS	Allow (Rule 0)	200 + CORS headers
https://smalruby.app	POST	Allow (Rule 1)	200 + data
https://example.com	OPTIONS	Allow (Rule 0)	403 (blocked by default)
https://example.com	POST	Block (default)	403

Note: AppSyncはOPTIONSリクエストに対して access-control-allow-origin: * を返しますが、実際のPOSTリクエストはWAFでOriginチェックされます。

Test Results (stg2 environment)

✅ preflight OPTIONS from https://smalruby.app

curl -X OPTIONS https://stg2.graphql.api.smalruby.app/graphql \
  -H "Origin: https://smalruby.app"
# → 200 + CORS headers

✅ POST request from https://smalruby.app

curl -X POST https://stg2.graphql.api.smalruby.app/graphql \
  -H "Origin: https://smalruby.app" \
  -H "x-api-key: ..."
# → 200 + {"data":{"__typename":"Query"}}

✅ POST request from unauthorized origin

curl -X POST https://stg2.graphql.api.smalruby.app/graphql \
  -H "Origin: https://example.com" \
  -H "x-api-key: ..."
# → 403 (blocked by WAF)

Deployment

この変更は本番環境 (prod) のみに適用されます（if (stage === 'prod')）。

Deployment Command

cd infra/mesh-v2
npx cdk deploy --context stage=prod

Post-Deployment Verification

# Test preflight OPTIONS
curl -X OPTIONS https://graphql.api.smalruby.app/graphql \
  -H "Origin: https://smalruby.app" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: content-type, x-api-key" \
  -v

# Expected: HTTP/2 200 + CORS headers

Related Issue

Fixes #30

🤖 Generated with Claude Code