Kiểm soát truy cập-Cho phép-Xuất xứ nhiều tên miền gốc?

Có cách nào để cho phép nhiều tên miền chéo sử dụng Access-Control-Allow-Origintiêu đề không?

Tôi biết điều đó *, nhưng nó quá mở. Tôi thực sự muốn cho phép chỉ một vài tên miền.

Ví dụ, một cái gì đó như thế này:

Access-Control-Allow-Origin: http://domain1.example, http://domain2.example

Tôi đã thử đoạn mã trên nhưng dường như nó không hoạt động trong Firefox.

Có thể chỉ định nhiều tên miền hay tôi bị mắc kẹt chỉ với một tên miền?

Âm thanh giống như cách được đề xuất là để máy chủ của bạn đọc tiêu đề Origin từ máy khách, so sánh với danh sách các tên miền bạn muốn cho phép và nếu nó khớp, hãy trả lại giá trị của Origintiêu đề cho máy khách như các Access-Control-Allow-Origintiêu đề trong các phản ứng.

Với .htaccessbạn có thể làm điều đó như thế này:

# ----------------------------------------------------------------------
# Allow loading of external fonts
# ----------------------------------------------------------------------
<FilesMatch "\.(ttf|otf|eot|woff|woff2)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "http(s)?://(www\.)?(google.com|staging.google.com|development.google.com|otherdomain.example|dev02.otherdomain.example)$" AccessControlAllowOrigin=$0
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header merge Vary Origin
    </IfModule>
</FilesMatch>

Một giải pháp khác tôi đang sử dụng trong PHP:

$http_origin = $_SERVER['HTTP_ORIGIN'];

if ($http_origin == "http://www.domain1.com" || $http_origin == "http://www.domain2.com" || $http_origin == "http://www.domain3.com")
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

Điều này làm việc cho tôi:

SetEnvIf Origin "^http(s)?://(.+\.)?(domain\.example|domain2\.example)$" origin_is=$0 
Header always set Access-Control-Allow-Origin %{origin_is}e env=origin_is

Khi đặt vào .htaccess, nó sẽ hoạt động chắc chắn.

Tôi gặp vấn đề tương tự với phông chữ woff, nhiều tên miền phụ phải có quyền truy cập. Để cho phép tên miền phụ, tôi đã thêm một cái gì đó như thế này vào httpd.conf của mình:

SetEnvIf Origin "^(.*\.example\.com)$" ORIGIN_SUB_DOMAIN=$1
<FilesMatch "\.woff$">
    Header set Access-Control-Allow-Origin "%{ORIGIN_SUB_DOMAIN}e" env=ORIGIN_SUB_DOMAIN
</FilesMatch>

Đối với nhiều tên miền, bạn có thể thay đổi regex trong SetEnvIf.

Đây là cách lặp lại tiêu đề Origin nếu nó khớp với tên miền của bạn với Nginx, điều này rất hữu ích nếu bạn muốn cung cấp một phông chữ nhiều tên miền phụ:

location /fonts {
    # this will echo back the origin header
    if ($http_origin ~ "example.org$") {
        add_header "Access-Control-Allow-Origin" $http_origin;
    }
}

Đây là những gì tôi đã làm cho một ứng dụng PHP đang được AJAX yêu cầu

$request_headers        = apache_request_headers();
$http_origin            = $request_headers['Origin'];
$allowed_http_origins   = array(
                            "http://myDumbDomain.example"   ,
                            "http://anotherDumbDomain.example"  ,
                            "http://localhost"  ,
                          );
if (in_array($http_origin, $allowed_http_origins)){  
    @header("Access-Control-Allow-Origin: " . $http_origin);
}

Nếu máy chủ yêu cầu của tôi được cho phép, hãy trả lại $http_originchính nó dưới dạng giá trị của Access-Control-Allow-Origintiêu đề thay vì trả về *ký tự đại diện.

Có một nhược điểm bạn cần lưu ý: Ngay khi bạn gửi các tệp nguồn ra CDN (hoặc bất kỳ máy chủ nào khác không cho phép tập lệnh) hoặc nếu các tệp của bạn được lưu trong bộ đệm, hãy thay đổi phản hồi dựa trên 'Origin' tiêu đề yêu cầu sẽ không hoạt động.

Đối với nhiều tên miền, trong .htaccess:

<IfModule mod_headers.c>
    SetEnvIf Origin "http(s)?://(www\.)?(domain1.example|domain2.example)$" AccessControlAllowOrigin=$0$1
    Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Credentials true
</IfModule>

Đối với người dùng Nginx cho phép CORS cho nhiều tên miền. Tôi thích ví dụ của @ marshall mặc dù anwers của anh ta chỉ phù hợp với một tên miền. Để khớp với danh sách tên miền và tên miền phụ, biểu thức chính này giúp bạn dễ dàng làm việc với các phông chữ:

location ~* \.(?:ttf|ttc|otf|eot|woff|woff2)$ {
   if ( $http_origin ~* (https?://(.+\.)?(domain1|domain2|domain3)\.(?:me|co|com)$) ) {
      add_header "Access-Control-Allow-Origin" "$http_origin";
   }
}

Điều này sẽ chỉ lặp lại các tiêu đề "Truy cập-Kiểm soát-Cho phép-Xuất xứ" phù hợp với danh sách tên miền đã cho.

Đối với IIS 7.5+ đã cài đặt mô-đun Rewrite 2.0, vui lòng xem câu trả lời SO này

Đây là một giải pháp cho ứng dụng web Java, dựa trên câu trả lời từ yesthatguy.

Tôi đang sử dụng Jersey REST 1.x

Định cấu hình tệp web để nhận biết Jersey REST và CORSResponseFilter

 <!-- Jersey REST config -->
  <servlet>    
    <servlet-name>JAX-RS Servlet</servlet-name>
    <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
    <init-param> 
        <param-name>com.sun.jersey.api.json.POJOMappingFeature</param-name>
        <param-value>true</param-value>
    </init-param>
    <init-param>
      <param-name>com.sun.jersey.spi.container.ContainerResponseFilters</param-name>
      <param-value>com.your.package.CORSResponseFilter</param-value>
    </init-param>   
    <init-param>
        <param-name>com.sun.jersey.config.property.packages</param-name>
        <param-value>com.your.package</param-value>
    </init-param>        
    <load-on-startup>1</load-on-startup>
  </servlet>
  <servlet-mapping>
    <servlet-name>JAX-RS Servlet</servlet-name>
    <url-pattern>/ws/*</url-pattern>
  </servlet-mapping>

Đây là mã cho CORSResponseFilter

import com.sun.jersey.spi.container.ContainerRequest;
import com.sun.jersey.spi.container.ContainerResponse;
import com.sun.jersey.spi.container.ContainerResponseFilter;


public class CORSResponseFilter implements ContainerResponseFilter{

@Override
public ContainerResponse filter(ContainerRequest request,
        ContainerResponse response) {

    String[] allowDomain = {"http://localhost:9000","https://my.domain.example"};
    Set<String> allowedOrigins = new HashSet<String>(Arrays.asList (allowDomain));                  

    String originHeader = request.getHeaderValue("Origin");

    if(allowedOrigins.contains(originHeader)) {
        response.getHttpHeaders().add("Access-Control-Allow-Origin", originHeader);

        response.getHttpHeaders().add("Access-Control-Allow-Headers",
                "origin, content-type, accept, authorization");
        response.getHttpHeaders().add("Access-Control-Allow-Credentials", "true");
        response.getHttpHeaders().add("Access-Control-Allow-Methods",
                "GET, POST, PUT, DELETE, OPTIONS, HEAD");
    }

    return response;
}

}

Như đã đề cập ở trên, Access-Control-Allow-Originphải là duy nhất và Varynên được đặt thành Originnếu bạn đứng sau CDN (Mạng phân phối nội dung).

Phần có liên quan trong cấu hình Nginx của tôi:

if ($http_origin ~* (https?://.*\.mydomain.example(:[0-9]+)?)) {
  set $cors "true";
}
if ($cors = "true") {
  add_header 'Access-Control-Allow-Origin' "$http_origin";
  add_header 'X-Frame-Options' "ALLOW FROM $http_origin";
  add_header 'Access-Control-Allow-Credentials' 'true';
  add_header 'Vary' 'Origin';
}

Có thể tôi sai, nhưng theo như tôi thấy Access-Control-Allow-Origincó một "origin-list"tham số.

Theo định nghĩa, an origin-listlà:

origin            = "origin" ":" 1*WSP [ "null" / origin-list ]
origin-list       = serialized-origin *( 1*WSP serialized-origin )
serialized-origin = scheme "://" host [ ":" port ]
                  ; <scheme>, <host>, <port> productions from RFC3986

Và từ điều này, tôi lập luận các nguồn gốc khác nhau được thừa nhận và nên được phân tách không gian .

Đối với các ứng dụng ExpressJS bạn có thể sử dụng:

app.use((req, res, next) => {
    const corsWhitelist = [
        'https://domain1.example',
        'https://domain2.example',
        'https://domain3.example'
    ];
    if (corsWhitelist.indexOf(req.headers.origin) !== -1) {
        res.header('Access-Control-Allow-Origin', req.headers.origin);
        res.header('Access-Control-Allow-Headers', 'Origin, X-Requested-With, Content-Type, Accept');
    }

    next();
});

Tôi đã vật lộn để thiết lập điều này cho một tên miền chạy HTTPS, vì vậy tôi nghĩ rằng tôi sẽ chia sẻ giải pháp. Tôi đã sử dụng chỉ thị sau trong tệp httpd.conf của mình :

    <FilesMatch "\.(ttf|otf|eot|woff)$">
            SetEnvIf Origin "^http(s)?://(.+\.)?example\.com$" AccessControlAllowOrigin=$0
            Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    </FilesMatch>

Thay đổi example.comtên miền của bạn. Thêm phần này vào <VirtualHost x.x.x.x:xx>trong tệp httpd.conf của bạn . Lưu ý rằng nếu bạn VirtualHostcó hậu tố cổng (ví dụ :80) thì lệnh này sẽ không áp dụng cho HTTPS, do đó bạn cũng cần phải truy cập / etc / apache2 / site-Available / default-ssl và thêm cùng một lệnh trong tệp đó, bên trong của <VirtualHost _default_:443>phần.

Khi các tệp cấu hình được cập nhật, bạn sẽ cần chạy các lệnh sau trong thiết bị đầu cuối:

a2enmod headers
sudo service apache2 reload

Nếu bạn gặp sự cố với phông chữ, hãy sử dụng:

<FilesMatch "\.(ttf|ttc|otf|eot|woff)$">
    <IfModule mod_headers>
        Header set Access-Control-Allow-Origin "*"
    </IfModule>
</FilesMatch>

Một cách tiếp cận linh hoạt hơn là sử dụng các biểu thức của Apache 2.4. Bạn có thể đối sánh với tên miền, đường dẫn và chỉ về mọi biến yêu cầu khác. Mặc dù phản hồi được gửi luôn luôn *, nhưng những người yêu cầu duy nhất nhận được nó là những người đáp ứng yêu cầu. Việc sử dụng Origintiêu đề yêu cầu (hoặc bất kỳ loại nào khác) trong biểu thức sẽ khiến Apache tự động hợp nhất nó vào Varytiêu đề phản hồi, do đó phản hồi sẽ không được sử dụng lại cho một nguồn gốc khác.

<IfModule mod_headers.c>
    <If "%{HTTP:Host} =~ /\\bcdndomain\\.example$/i && %{HTTP:Origin} =~ /\\bmaindomain\\.example$/i">
        Header set Access-Control-Allow-Origin "*"
    </If>
</IfModule>

Mã PHP:

$httpOrigin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : null;
if (in_array($httpOrigin, [
    'http://localhost:9000', // Co-worker dev-server
    'http://127.0.0.1:9001', // My dev-server
])) header("Access-Control-Allow-Origin: ${httpOrigin}");
header('Access-Control-Allow-Credentials: true');

HTTP_ORIGIN không được sử dụng bởi tất cả các trình duyệt. HTTP_ORIGIN an toàn đến mức nào? Đối với tôi nó xuất hiện trống rỗng trong FF.
Tôi có các trang web mà tôi cho phép truy cập vào trang web của mình gửi qua ID trang web, sau đó tôi kiểm tra DB của mình để biết bản ghi đó với id đó và nhận giá trị cột SITE_URL (www.yoursite.com).

header('Access-Control-Allow-Origin: http://'.$row['SITE_URL']);

Ngay cả khi việc gửi qua ID trang web hợp lệ, yêu cầu cần phải đến từ tên miền được liệt kê trong DB của tôi được liên kết với ID trang web đó.

Đây là một tùy chọn mở rộng cho apache bao gồm một số định nghĩa phông chữ mới nhất và theo kế hoạch:

<FilesMatch "\.(ttf|otf|eot|woff|woff2|sfnt|svg)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "^http(s)?://(.+\.)?(domainname1|domainname2|domainname3)\.(?:com|net|org)$" AccessControlAllowOrigin=$0$1$2
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header set Access-Control-Allow-Credentials true
    </IfModule>
</FilesMatch>

Để tạo điều kiện truy cập nhiều tên miền cho dịch vụ ASMX, tôi đã tạo chức năng này trong tệp global.asax:

protected void Application_BeginRequest(object sender, EventArgs e)
{
    string CORSServices = "/account.asmx|/account2.asmx";
    if (CORSServices.IndexOf(HttpContext.Current.Request.Url.AbsolutePath) > -1)
    {
        string allowedDomains = "http://xxx.yyy.example|http://aaa.bbb.example";

        if(allowedDomains.IndexOf(HttpContext.Current.Request.Headers["Origin"]) > -1)
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", HttpContext.Current.Request.Headers["Origin"]);

        if(HttpContext.Current.Request.HttpMethod == "OPTIONS")
            HttpContext.Current.Response.End();
    }
}

Điều này cho phép xử lý CORS của OPTIONSđộng từ cũng.

Ví dụ mã PHP để phù hợp với tên miền phụ.

if( preg_match("/http:\/\/(.*?)\.yourdomain.example/", $_SERVER['HTTP_ORIGIN'], $matches )) {
        $theMatch = $matches[0];
        header('Access-Control-Allow-Origin: ' . $theMatch);
}

Để sao chép / dán khá dễ dàng cho các ứng dụng .NET, tôi đã viết cái này để kích hoạt CORS từ trong một global.asaxtệp. Mã này tuân theo lời khuyên được đưa ra trong câu trả lời hiện được chấp nhận, phản ánh bất kỳ nguồn gốc nào được đưa ra trong yêu cầu vào phản hồi. Điều này đạt được hiệu quả '*' mà không cần sử dụng nó.

Lý do cho điều này là vì nó cho phép nhiều tính năng CORS khác , bao gồm khả năng gửi AJAX XMLHttpRequest với thuộc tính 'withCredentials' được đặt thành 'true'.

void Application_BeginRequest(object sender, EventArgs e)
{
    if (Request.HttpMethod == "OPTIONS")
    {
        Response.AddHeader("Access-Control-Allow-Methods", "GET, POST");
        Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept");
        Response.AddHeader("Access-Control-Max-Age", "1728000");
        Response.End();
    }
    else
    {
        Response.AddHeader("Access-Control-Allow-Credentials", "true");

        if (Request.Headers["Origin"] != null)
            Response.AddHeader("Access-Control-Allow-Origin" , Request.Headers["Origin"]);
        else
            Response.AddHeader("Access-Control-Allow-Origin" , "*");
    }
}

Và thêm một câu trả lời trong Django. Để có một chế độ xem cho phép CORS từ nhiều tên miền, đây là mã của tôi:

def my_view(request):
    if 'HTTP_ORIGIN' in request.META.keys() and request.META['HTTP_ORIGIN'] in ['http://allowed-unsecure-domain.com', 'https://allowed-secure-domain.com', ...]:
        response = my_view_response() # Create your desired response data: JsonResponse, HttpResponse...
        # Then add CORS headers for access from delivery
        response["Access-Control-Allow-Origin"] = request.META['HTTP_ORIGIN']
        response["Access-Control-Allow-Methods"] = "GET" # "GET, POST, PUT, DELETE, OPTIONS, HEAD"
        response["Access-Control-Max-Age"] = "1000"  
        response["Access-Control-Allow-Headers"] = "*"  
        return response

Cổng AWS Lambda / API

Để biết thông tin về cách định cấu hình nhiều nguồn gốc trên Serverless AWS Lambda và API Gateway - mặc dù là một giải pháp khá lớn cho thứ gì đó mà người ta cảm thấy nên khá đơn giản - xem tại đây:

https://stackoverflow.com/a/41708323/1624933

Hiện tại không thể định cấu hình nhiều nguồn gốc trong API Gateway, xem tại đây: https://docs.aws.amazon.com/apigateway/latest/developerguide/how-to-cors-console.html ), nhưng đề xuất (trong câu trả lời ở trên) là:

• kiểm tra tiêu đề Origin được gửi bởi trình duyệt
• kiểm tra nó dựa trên danh sách trắng nguồn gốc
• nếu nó khớp, trả về Nguồn gốc đến dưới dạng tiêu đề Access-Control-Allow-Origin, nếu không thì trả về một trình giữ chỗ (gốc mặc định).

Giải pháp đơn giản rõ ràng là cho phép TẤT CẢ (*) như vậy:

exports.handler = async (event) => {
    const response = {
        statusCode: 200,
        headers: {
            "Access-Control-Allow-Origin": "*",
            "Access-Control-Allow-Credentials" : true // Required for cookies, authorization headers with HTTPS
        },
        body: JSON.stringify([{

Nhưng có thể tốt hơn để làm điều này ở phía API Gateway (xem liên kết thứ 2 ở trên).

Câu trả lời hỗ trợ của Google về việc phân phát quảng cáo qua SSL và ngữ pháp trong chính RFC dường như cho thấy rằng bạn có thể phân cách các URL. Không chắc chắn mức độ được hỗ trợ tốt này trong các trình duyệt khác nhau.

Nếu bạn thử rất nhiều ví dụ mã như tôi để làm cho nó hoạt động bằng CORS, điều đáng nói là bạn phải xóa bộ nhớ cache trước để thử nếu nó thực sự hoạt động, tương tự như các vấn đề như khi hình ảnh cũ vẫn còn, ngay cả khi nó đã xóa trên máy chủ (vì nó vẫn được lưu trong bộ nhớ cache của bạn).

Ví dụ: CTRL + SHIFT + DELtrong Google Chrome để xóa bộ nhớ cache của bạn.

Điều này đã giúp tôi sử dụng mã này sau khi thử nhiều .htaccessgiải pháp thuần túy và đây dường như là giải pháp duy nhất hoạt động (ít nhất là đối với tôi):

    Header add Access-Control-Allow-Origin "http://google.com"
    Header add Access-Control-Allow-Headers "authorization, origin, user-token, x-requested-with, content-type"
    Header add Access-Control-Allow-Methods "PUT, GET, POST, DELETE, OPTIONS"

    <FilesMatch "\.(ttf|otf|eot|woff)$">
        <IfModule mod_headers.c>
            SetEnvIf Origin "http(s)?://(www\.)?(google.com|staging.google.com|development.google.com|otherdomain.com|dev02.otherdomain.net)$" AccessControlAllowOrigin=$0
            Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        </IfModule>
    </FilesMatch>

Cũng lưu ý rằng nó được lan truyền rộng rãi rằng nhiều giải pháp nói rằng bạn phải gõ Header set ...nhưng nó là Header add .... Hy vọng điều này sẽ giúp ai đó gặp rắc rối tương tự trong một số giờ như tôi.

Câu trả lời dưới đây là cụ thể cho C #, nhưng khái niệm này nên được áp dụng cho tất cả các nền tảng khác nhau.

Để cho phép Yêu cầu nguồn gốc chéo từ api web, Bạn cần cho phép các yêu cầu Tùy chọn cho Ứng dụng của mình và Thêm chú thích bên dưới ở cấp điều khiển.

[EnableCors (UrlString, Header, Phương thức)] Bây giờ nguồn gốc chỉ có thể được truyền dưới dạng chuỗi. Vì vậy, nếu bạn muốn vượt qua nhiều URL trong yêu cầu, hãy chuyển nó dưới dạng giá trị được phân tách bằng dấu phẩy.

UrlString = " https: //a.hello.com,https: //b.hello.com "

Chỉ một nguồn gốc duy nhất có thể được chỉ định cho tiêu đề Access-Control-Allow-Origin. Nhưng bạn có thể đặt nguồn gốc trong phản hồi của bạn theo yêu cầu. Cũng đừng quên đặt tiêu đề Vary. Trong PHP tôi sẽ làm như sau:

    /**
     * Enable CORS for the passed origins.
     * Adds the Access-Control-Allow-Origin header to the response with the origin that matched the one in the request.
     * @param array $origins
     * @return string|null returns the matched origin or null
     */
    function allowOrigins($origins)
    {
        $val = $_SERVER['HTTP_ORIGIN'] ?? null;
        if (in_array($val, $origins, true)) {
            header('Access-Control-Allow-Origin: '.$val);
            header('Vary: Origin');

            return $val;
        }

        return null;
    }

  if (allowOrigins(['http://localhost', 'https://localhost'])) {
      echo your response here, e.g. token
  }

Chúng tôi cũng có thể đặt tệp này trong tệp Global.asax cho ứng dụng Asp.net.

protected void Application_BeginRequest(object sender, EventArgs e)
    {

    // enable CORS
    HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", "https://www.youtube.com");

    }