Access-Control-Allow-Origin Çoklu Kökenli Etki Alanları?

Access-Control-Allow-OriginÜstbilgiyi kullanarak birden çok çapraz alana izin vermenin bir yolu var mı ?

Farkındayım *, ama çok açık. Gerçekten sadece birkaç alana izin vermek istiyorum.

Örnek olarak, şöyle bir şey:

Access-Control-Allow-Origin: http://domain1.example, http://domain2.example

Yukarıdaki kodu denedim ama Firefox'ta çalışmıyor gibi görünüyor.

Birden fazla alan adı belirtmek mümkün mü yoksa yalnızca bir alan adı ile mi takıldım?

Bunu yapmanın önerilen yolu gibi görünüyor, sunucunuzun Origin üstbilgisini istemciden okumasını sağlamak, bunu izin vermek istediğiniz etki alanları listesiyle karşılaştırmak ve eşleşirse Originüstbilginin değerini istemciye tekrar yankılamaktır. Access-Control-Allow-Originkarşılık olarak başlık.

İle .htaccessbunu şöyle yapabilirsiniz:

# ----------------------------------------------------------------------
# Allow loading of external fonts
# ----------------------------------------------------------------------
<FilesMatch "\.(ttf|otf|eot|woff|woff2)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "http(s)?://(www\.)?(google.com|staging.google.com|development.google.com|otherdomain.example|dev02.otherdomain.example)$" AccessControlAllowOrigin=$0
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header merge Vary Origin
    </IfModule>
</FilesMatch>

PHP kullanıyorum başka bir çözüm:

$http_origin = $_SERVER['HTTP_ORIGIN'];

if ($http_origin == "http://www.domain1.com" || $http_origin == "http://www.domain2.com" || $http_origin == "http://www.domain3.com")
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

Bu benim için çalıştı:

SetEnvIf Origin "^http(s)?://(.+\.)?(domain\.example|domain2\.example)$" origin_is=$0 
Header always set Access-Control-Allow-Origin %{origin_is}e env=origin_is

Koyulduğunda .htaccess, kesinlikle işe yarayacaktır.

Woff-fontları ile aynı sorunu yaşadım, birden fazla alt alanın erişimi vardı. Alt alan adlarına izin vermek için httpd.conf dosyasına böyle bir şey ekledim:

SetEnvIf Origin "^(.*\.example\.com)$" ORIGIN_SUB_DOMAIN=$1
<FilesMatch "\.woff$">
    Header set Access-Control-Allow-Origin "%{ORIGIN_SUB_DOMAIN}e" env=ORIGIN_SUB_DOMAIN
</FilesMatch>

Birden çok alan için, normal ifadeyi SetEnvIf .

Orijin başlığını alan adınız Nginx ile eşleşiyorsa nasıl tekrar yankılayacağınız aşağıda açıklanmıştır: birden çok alt alan adına sahip bir font sunmak istiyorsanız bu yararlıdır:

location /fonts {
    # this will echo back the origin header
    if ($http_origin ~ "example.org$") {
        add_header "Access-Control-Allow-Origin" $http_origin;
    }
}

AJAX tarafından talep edilen bir PHP uygulaması için ne yaptım

$request_headers        = apache_request_headers();
$http_origin            = $request_headers['Origin'];
$allowed_http_origins   = array(
                            "http://myDumbDomain.example"   ,
                            "http://anotherDumbDomain.example"  ,
                            "http://localhost"  ,
                          );
if (in_array($http_origin, $allowed_http_origins)){  
    @header("Access-Control-Allow-Origin: " . $http_origin);
}

İstekte bulunan kaynağa sunucum tarafından izin veriliyorsa, joker karakter döndürmek yerine $http_originkendisini Access-Control-Allow-Originüstbilginin değeri olarak *döndürün.

Bilmeniz gereken bir dezavantaj vardır: Dosyaları bir CDN'ye (veya komut dosyasına izin vermeyen başka bir sunucuya) dışarı aktarır göndermez veya dosyalarınız bir proxy üzerinde önbelleğe alınırsa, 'Origin' kaynağına göre yanıt değiştirilir istek başlığı çalışmaz.

Birden çok etki için, Gözlerinde farklı .htaccess:

<IfModule mod_headers.c>
    SetEnvIf Origin "http(s)?://(www\.)?(domain1.example|domain2.example)$" AccessControlAllowOrigin=$0$1
    Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Credentials true
</IfModule>

Nginx kullanıcılarının birden fazla alan için CORS'ye izin vermesi. @ Marshall'ın örneğini beğendim, ancak anwers'ı sadece bir alanla eşleşiyor. Alan adı ve alt alan adı listesiyle eşleştirmek için bu normal ifade yazı tipleriyle çalışmayı kolaylaştırır:

location ~* \.(?:ttf|ttc|otf|eot|woff|woff2)$ {
   if ( $http_origin ~* (https?://(.+\.)?(domain1|domain2|domain3)\.(?:me|co|com)$) ) {
      add_header "Access-Control-Allow-Origin" "$http_origin";
   }
}

Bu, yalnızca belirtilen alan adları listesiyle eşleşen "Access-Control-Allow-Origin" başlıklarını yankılandıracaktır.

URL Rewrite 2.0 modülü yüklü IIS 7.5+ için lütfen bu SO yanıtına bakın

İşte Java web uygulaması için yesthatguy'un cevabını temel alan bir çözüm.

Jersey REST 1.x kullanıyorum

Web.xml dosyasını Jersey REST ve CORSResponseFilter öğelerinden haberdar olacak şekilde yapılandırın

 <!-- Jersey REST config -->
  <servlet>    
    <servlet-name>JAX-RS Servlet</servlet-name>
    <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
    <init-param> 
        <param-name>com.sun.jersey.api.json.POJOMappingFeature</param-name>
        <param-value>true</param-value>
    </init-param>
    <init-param>
      <param-name>com.sun.jersey.spi.container.ContainerResponseFilters</param-name>
      <param-value>com.your.package.CORSResponseFilter</param-value>
    </init-param>   
    <init-param>
        <param-name>com.sun.jersey.config.property.packages</param-name>
        <param-value>com.your.package</param-value>
    </init-param>        
    <load-on-startup>1</load-on-startup>
  </servlet>
  <servlet-mapping>
    <servlet-name>JAX-RS Servlet</servlet-name>
    <url-pattern>/ws/*</url-pattern>
  </servlet-mapping>

İşte CORSResponseFilter kodu

import com.sun.jersey.spi.container.ContainerRequest;
import com.sun.jersey.spi.container.ContainerResponse;
import com.sun.jersey.spi.container.ContainerResponseFilter;


public class CORSResponseFilter implements ContainerResponseFilter{

@Override
public ContainerResponse filter(ContainerRequest request,
        ContainerResponse response) {

    String[] allowDomain = {"http://localhost:9000","https://my.domain.example"};
    Set<String> allowedOrigins = new HashSet<String>(Arrays.asList (allowDomain));                  

    String originHeader = request.getHeaderValue("Origin");

    if(allowedOrigins.contains(originHeader)) {
        response.getHttpHeaders().add("Access-Control-Allow-Origin", originHeader);

        response.getHttpHeaders().add("Access-Control-Allow-Headers",
                "origin, content-type, accept, authorization");
        response.getHttpHeaders().add("Access-Control-Allow-Credentials", "true");
        response.getHttpHeaders().add("Access-Control-Allow-Methods",
                "GET, POST, PUT, DELETE, OPTIONS, HEAD");
    }

    return response;
}

}

Yukarıda belirtildiği gibi, Access-Control-Allow-Originbenzersiz olmalı veVary olmalıOrigin bir CDN'nin (İçerik Dağıtım Ağı) arkasındaysanız olarak ayarlanmalıdır .

Nginx yapılandırmamın ilgili kısmı:

if ($http_origin ~* (https?://.*\.mydomain.example(:[0-9]+)?)) {
  set $cors "true";
}
if ($cors = "true") {
  add_header 'Access-Control-Allow-Origin' "$http_origin";
  add_header 'X-Frame-Options' "ALLOW FROM $http_origin";
  add_header 'Access-Control-Allow-Credentials' 'true';
  add_header 'Vary' 'Origin';
}

Belki yanılıyorum, ama görebildiğim kadarıyla Access-Control-Allow-Originbir "origin-list"as parametresi var.

Tarafından tanımı bir origin-listolduğu:

origin            = "origin" ":" 1*WSP [ "null" / origin-list ]
origin-list       = serialized-origin *( 1*WSP serialized-origin )
serialized-origin = scheme "://" host [ ":" port ]
                  ; <scheme>, <host>, <port> productions from RFC3986

Ve bundan farklı kökenlerin kabul edildiğini ve boşlukla ayrılması gerektiğini savunuyorum .

ExpressJS uygulamaları için şunları kullanabilirsiniz:

app.use((req, res, next) => {
    const corsWhitelist = [
        'https://domain1.example',
        'https://domain2.example',
        'https://domain3.example'
    ];
    if (corsWhitelist.indexOf(req.headers.origin) !== -1) {
        res.header('Access-Control-Allow-Origin', req.headers.origin);
        res.header('Access-Control-Allow-Headers', 'Origin, X-Requested-With, Content-Type, Accept');
    }

    next();
});

HTTPS çalıştıran bir alan adı için bunu ayarlamaya çalıştım, bu yüzden çözümü paylaşacağımı düşündüm. Httpd.conf dosyamda şu yönergeyi kullandım :

    <FilesMatch "\.(ttf|otf|eot|woff)$">
            SetEnvIf Origin "^http(s)?://(.+\.)?example\.com$" AccessControlAllowOrigin=$0
            Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    </FilesMatch>

Değişiklik example.comAlan adınızla . Bunu httpd.conf dosyanıza <VirtualHost x.x.x.x:xx>ekleyin . Senin eğer Bildirimi bir liman eki (örn vardır ) ayrıca gitmek gerekir bu yüzden o zaman bu yönerge, HTTPS için geçerli olmayacaktır / etc / apache2 / sites-available / default-SSL ve söz konusu dosyanın, iç aynı yönergesini ekleyin ...VirtualHost:80<VirtualHost _default_:443> bölümü.

Yapılandırma dosyaları güncellendiğinde, terminalde aşağıdaki komutları çalıştırmanız gerekir:

a2enmod headers
sudo service apache2 reload

Yazı tipleriyle ilgili sorun yaşıyorsanız şunu kullanın:

<FilesMatch "\.(ttf|ttc|otf|eot|woff)$">
    <IfModule mod_headers>
        Header set Access-Control-Allow-Origin "*"
    </IfModule>
</FilesMatch>

Daha esnek bir yaklaşım Apache 2.4'ün ifadelerini kullanmaktır. Etki alanlarıyla, yollarla ve hemen hemen her istek değişkeniyle eşleşebilirsiniz. Gönderilen yanıt her zaman olsa da *, onu alan tek istekler yine de gereksinimleri karşılayanlardır. Kullanımı Origin(veya başka) ifade istek başlık otomatik olarak birleştirmek için Apache'nin Varybu yanıt farklı orjinli için tekrar olmayacak şekilde, tepki başlığı.

<IfModule mod_headers.c>
    <If "%{HTTP:Host} =~ /\\bcdndomain\\.example$/i && %{HTTP:Origin} =~ /\\bmaindomain\\.example$/i">
        Header set Access-Control-Allow-Origin "*"
    </If>
</IfModule>

PHP Kodu:

$httpOrigin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : null;
if (in_array($httpOrigin, [
    'http://localhost:9000', // Co-worker dev-server
    'http://127.0.0.1:9001', // My dev-server
])) header("Access-Control-Allow-Origin: ${httpOrigin}");
header('Access-Control-Allow-Credentials: true');

HTTP_ORIGIN tüm tarayıcılar tarafından kullanılmaz. HTTP_ORIGIN ne kadar güvenli? Benim için FF'de boş çıkıyor.
Bir site kimliği üzerinden siteme erişim izni verdiğim siteler var, daha sonra bu kimliğe sahip kayıt için DB'mi kontrol ediyorum ve SITE_URL sütun değerini (www.yoursite.com) alıyorum.

header('Access-Control-Allow-Origin: http://'.$row['SITE_URL']);

Geçerli bir site kimliği üzerinden gönderme isteği, DB'de listelenen ve bu site kimliğiyle ilişkili alan adından olmalıdır.

Apache için en yeni ve planlanan yazı tipi tanımlarından bazılarını içeren genişletilmiş bir seçenek:

<FilesMatch "\.(ttf|otf|eot|woff|woff2|sfnt|svg)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "^http(s)?://(.+\.)?(domainname1|domainname2|domainname3)\.(?:com|net|org)$" AccessControlAllowOrigin=$0$1$2
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header set Access-Control-Allow-Credentials true
    </IfModule>
</FilesMatch>

Bir ASMX hizmeti için birden çok etki alanı erişimini kolaylaştırmak için, global.asax dosyasında bu işlevi oluşturdum:

protected void Application_BeginRequest(object sender, EventArgs e)
{
    string CORSServices = "/account.asmx|/account2.asmx";
    if (CORSServices.IndexOf(HttpContext.Current.Request.Url.AbsolutePath) > -1)
    {
        string allowedDomains = "http://xxx.yyy.example|http://aaa.bbb.example";

        if(allowedDomains.IndexOf(HttpContext.Current.Request.Headers["Origin"]) > -1)
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", HttpContext.Current.Request.Headers["Origin"]);

        if(HttpContext.Current.Request.HttpMethod == "OPTIONS")
            HttpContext.Current.Response.End();
    }
}

Bu, CORS'in OPTIONSfiilin işlenmesine de izin verir .

Alt alan adlarını eşleştirmek için PHP kodu örneği.

if( preg_match("/http:\/\/(.*?)\.yourdomain.example/", $_SERVER['HTTP_ORIGIN'], $matches )) {
        $theMatch = $matches[0];
        header('Access-Control-Allow-Origin: ' . $theMatch);
}

.NET uygulamaları için oldukça kolay bir kopyalama / yapıştırma için, bunu CORS'u bir global.asax dosyadan . Bu kod, şu anda kabul edilen cevapta verilen tavsiyeyi izler ve talepteki geri dönüşün ne olduğunu geri gönderir. Bu, kullanmadan etkin bir şekilde '*' elde eder.

Bunun nedeni , 'withCredentials' özniteliği 'true' olarak ayarlanmış bir AJAX XMLHttpRequest gönderme yeteneği de dahil olmak üzere diğer birçok CORS özelliğini etkinleştirmesidir .

void Application_BeginRequest(object sender, EventArgs e)
{
    if (Request.HttpMethod == "OPTIONS")
    {
        Response.AddHeader("Access-Control-Allow-Methods", "GET, POST");
        Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept");
        Response.AddHeader("Access-Control-Max-Age", "1728000");
        Response.End();
    }
    else
    {
        Response.AddHeader("Access-Control-Allow-Credentials", "true");

        if (Request.Headers["Origin"] != null)
            Response.AddHeader("Access-Control-Allow-Origin" , Request.Headers["Origin"]);
        else
            Response.AddHeader("Access-Control-Allow-Origin" , "*");
    }
}

Ve Django'da bir cevap daha. Tek bir görünüme sahip olmak için birden çok alandan CORS izin vermek, İşte benim kod:

def my_view(request):
    if 'HTTP_ORIGIN' in request.META.keys() and request.META['HTTP_ORIGIN'] in ['http://allowed-unsecure-domain.com', 'https://allowed-secure-domain.com', ...]:
        response = my_view_response() # Create your desired response data: JsonResponse, HttpResponse...
        # Then add CORS headers for access from delivery
        response["Access-Control-Allow-Origin"] = request.META['HTTP_ORIGIN']
        response["Access-Control-Allow-Methods"] = "GET" # "GET, POST, PUT, DELETE, OPTIONS, HEAD"
        response["Access-Control-Max-Age"] = "1000"  
        response["Access-Control-Allow-Headers"] = "*"  
        return response

AWS Lambda / API Ağ Geçidi

Sunucusuz AWS Lambda ve API Ağ Geçidi üzerinde birden fazla kökenin nasıl yapılandırılacağı hakkında bilgi için - bir kişinin oldukça basit bir çözüm olmasına rağmen oldukça basit olması gerekir - buraya bakın:

https://stackoverflow.com/a/41708323/1624933

Şu anda API Ağ Geçidi'nde birden fazla kaynak yapılandırmak mümkün değildir, buraya bakın: https://docs.aws.amazon.com/apigateway/latest/developerguide/how-to-cors-console.html ), ancak öneri ( yukarıdaki cevap):

• tarayıcı tarafından gönderilen Origin başlığını inceleyin
• bir menşe beyaz listesine karşı kontrol et
• eşleşiyorsa, gelen Kökeni Access-Control-Allow-Origin üstbilgisi olarak döndürün, aksi takdirde bir yer tutucu (varsayılan başlangıç ​​noktası) döndürün.

Basit çözüm açıkça ALL (*) 'u şu şekilde etkinleştirmektedir:

exports.handler = async (event) => {
    const response = {
        statusCode: 200,
        headers: {
            "Access-Control-Allow-Origin": "*",
            "Access-Control-Allow-Credentials" : true // Required for cookies, authorization headers with HTTPS
        },
        body: JSON.stringify([{

Ancak bunu API Ağ Geçidi tarafında yapmak daha iyi olabilir (yukarıdaki 2. bağlantıya bakın).

Google'ın destek cevabı SSL üzerinden reklam sunmaya ve RFC kendisi dilbilgisi uzay URL'leri sınırlamak yapabilirsiniz belirtmek gibi görünüyor. Bunun farklı tarayıcılarda ne kadar iyi desteklendiğinden emin değilim.

CORS kullanarak çalışmasını sağlamak için benim gibi çok sayıda kod örneği denerseniz, gerçekten çalışıp çalışmadığını denemek için önce önbelleğinizi temizlemeniz gerektiğini belirtmek gerekir. sunucuda silindi (çünkü hala önbelleğinize kaydedildi).

Örneğin CTRL + SHIFT + DELönbelleğinizi silmek için Google Chrome'da.

Bu, birçok saf .htaccessçözümü denedikten sonra bu kodu kullanmama yardımcı oldu ve bu tek çalışan gibiydi (en azından benim için):

    Header add Access-Control-Allow-Origin "http://google.com"
    Header add Access-Control-Allow-Headers "authorization, origin, user-token, x-requested-with, content-type"
    Header add Access-Control-Allow-Methods "PUT, GET, POST, DELETE, OPTIONS"

    <FilesMatch "\.(ttf|otf|eot|woff)$">
        <IfModule mod_headers.c>
            SetEnvIf Origin "http(s)?://(www\.)?(google.com|staging.google.com|development.google.com|otherdomain.com|dev02.otherdomain.net)$" AccessControlAllowOrigin=$0
            Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        </IfModule>
    </FilesMatch>

Ayrıca yaygın birçok çözümleri yazmak zorunda söylüyorlar yayılır unutmayın Header set ...ama öyle Header add .... Umarım bu benim gibi birkaç saat boyunca aynı sıkıntılara sahip birine yardımcı olur.

Aşağıdaki cevap C # 'a özgüdür, ancak kavram tüm farklı platformlar için geçerli olmalıdır.

Bir web API'sından Çapraz Kaynak İsteklerine izin vermek için, Uygulamanıza Seçenek isteklerine izin vermeniz ve denetleyici düzeyinde aşağıda ek açıklama eklemeniz gerekir.

[EnableCors (UrlString, Header, Method)] Artık orijinler yalnızca dize olarak geçirilebilir. Yani istekte birden fazla URL iletmek istiyorsanız virgülle ayrılmış değer olarak iletin.

UrlString = " https: //a.hello.com,https: //b.hello.com "

Access-Control-Allow-Origin üstbilgisi için yalnızca tek bir kaynak belirtilebilir. Ancak isteğinize göre yanıtınızdaki kaynağı ayarlayabilirsiniz. Ayrıca Vary üstbilgisini ayarlamayı da unutmayın. PHP'de aşağıdakileri yaparım:

    /**
     * Enable CORS for the passed origins.
     * Adds the Access-Control-Allow-Origin header to the response with the origin that matched the one in the request.
     * @param array $origins
     * @return string|null returns the matched origin or null
     */
    function allowOrigins($origins)
    {
        $val = $_SERVER['HTTP_ORIGIN'] ?? null;
        if (in_array($val, $origins, true)) {
            header('Access-Control-Allow-Origin: '.$val);
            header('Vary: Origin');

            return $val;
        }

        return null;
    }

  if (allowOrigins(['http://localhost', 'https://localhost'])) {
      echo your response here, e.g. token
  }

Bunu Asp.net uygulaması için Global.asax dosyasında da ayarlayabiliriz.

protected void Application_BeginRequest(object sender, EventArgs e)
    {

    // enable CORS
    HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", "https://www.youtube.com");

    }