Subdomeny, porty i protokoły Access-Control-Allow-Origin

Próbuję włączyć CORS dla wszystkich poddomen, portów i protokołu.

Na przykład chcę mieć możliwość uruchomienia żądania XHR z http://sub.mywebsite.com:8080/ do https://www.mywebsite.com/ *

Zazwyczaj chciałbym włączyć żądanie z dopasowania źródeł (i ograniczone do):

//*.mywebsite.com:*/*

Opierając się na odpowiedzi DaveRandoma , również się pobawiłem i znalazłem nieco prostsze rozwiązanie Apache, które daje ten sam rezultat ( Access-Control-Allow-Originjest ustawiony na bieżący konkretny protokół + domena + port dynamicznie) bez użycia reguł przepisywania:

SetEnvIf Origin ^(https?://.+\.mywebsite\.com(?::\d{1,5})?)$   CORS_ALLOW_ORIGIN=$1
Header append Access-Control-Allow-Origin  %{CORS_ALLOW_ORIGIN}e   env=CORS_ALLOW_ORIGIN
Header merge  Vary "Origin"

I to wszystko.

Ci, którzy chcą włączyć CORS w domenie nadrzędnej (np. Mywebsite.com) oprócz wszystkich swoich subdomen, mogą po prostu zastąpić wyrażenie regularne w pierwszym wierszu tym:

^(https?://(?:.+\.)?mywebsite\.com(?::\d{1,5})?)$.

Uwaga: W celu zapewnienia zgodności ze specyfikacją i prawidłowego zachowania w pamięci podręcznej ZAWSZE dodaj Vary: Originnagłówek odpowiedzi dla zasobów obsługujących CORS, nawet dla żądań innych niż CORS i tych z niedozwolonego źródła (patrz przykład dlaczego ).

Specyfikacja CORS jest „wszystko albo nic”. Obsługuje tylko *, nullczy domena dokładny protokół + port: http://www.w3.org/TR/cors/#access-control-allow-origin-response-header

Twój serwer będzie musiał sprawdzić poprawność nagłówka źródłowego za pomocą wyrażenia regularnego, a następnie możesz powtórzyć wartość początkową w nagłówku odpowiedzi Access-Control-Allow-Origin.

EDYCJA : Użyj rozwiązania @ Noyo zamiast tego. Jest prostszy, jaśniejszy i prawdopodobnie o wiele bardziej wydajny pod obciążeniem.

ORYGINALNA ODPOWIEDŹ POZOSTAŁA TUTAJ TYLKO DO CELÓW HISTORYCZNYCH !!

Rozmyślałem nad tym problemem i opracowałem to rozwiązanie wielokrotnego użytku .htaccess (lub httpd.conf), które działa z Apache:

<IfModule mod_rewrite.c>
<IfModule mod_headers.c>
    # Define the root domain that is allowed
    SetEnvIf Origin .+ ACCESS_CONTROL_ROOT=yourdomain.com

    # Check that the Origin: matches the defined root domain and capture it in
    # an environment var if it does
    RewriteEngine On
    RewriteCond %{ENV:ACCESS_CONTROL_ROOT} !=""
    RewriteCond %{ENV:ACCESS_CONTROL_ORIGIN} =""
    RewriteCond %{ENV:ACCESS_CONTROL_ROOT}&%{HTTP:Origin} ^([^&]+)&(https?://(?:.+?\.)?\1(?::\d{1,5})?)$
    RewriteRule .* - [E=ACCESS_CONTROL_ORIGIN:%2]

    # Set the response header to the captured value if there was a match
    Header set Access-Control-Allow-Origin %{ACCESS_CONTROL_ORIGIN}e env=ACCESS_CONTROL_ORIGIN
</IfModule>
</IfModule>

Wystarczy ustawić ACCESS_CONTROL_ROOTzmienną w górnej części bloku na domenę główną, a ona wyśle ​​echo Origin:wartość nagłówka żądania z powrotem do klienta w Access-Control-Allow-Origin:wartości nagłówka odpowiedzi, jeśli pasuje do twojej domeny.

Zauważ też, że możesz użyć sub.mydomain.comjako ACCESS_CONTROL_ROOTi to ograniczy początki do sub.mydomain.comi *.sub.mydomain.com(tj. Nie musi to być katalog główny domeny). Elementy, które mogą się zmieniać (protokół, port) mogą być kontrolowane przez modyfikację części wyrażenia regularnego URI wyrażenia regularnego.

Odpowiadam na to pytanie, ponieważ zaakceptowana odpowiedź nie może wykonać następujących czynności

1. grupowanie wyrażeń regularnych jest hitem wydajności , który nie jest konieczny.
2. nie może pasować do domeny podstawowej i działa tylko dla subdomeny.

Na przykład: nie wysyła nagłówków CORS dla http://mywebsite.com, podczas gdy działa dla http://somedomain.mywebsite.com/

SetEnvIf Origin "http(s)?://(.+\.)?mywebsite\.com(:\d{1,5})?$" CORS=$0

Header set Access-Control-Allow-Origin "%{CORS}e" env=CORS
Header merge  Vary "Origin"

Aby włączyć witrynę, wystarczy umieścić ją w miejscu „mywebsite.com” w powyższej konfiguracji Apache.

Aby zezwolić na wiele witryn:

SetEnvIf Origin "http(s)?://(.+\.)?(othersite\.com|mywebsite\.com)(:\d{1,5})?$" CORS=$0

Testowanie po wdrożeniu:

Następująca odpowiedź na curl powinna mieć nagłówek „Access-Control-Allow-Origin” po zmianie.

curl -X GET -H "Origin: http://examplesite1.com" --verbose http://examplesite2.com/query

Potrzebowałem rozwiązania tylko dla PHP, więc na wypadek, gdyby ktoś również go potrzebował. Pobiera dozwolony ciąg wejściowy, taki jak „* .example.com” i zwraca nazwę serwera nagłówka żądania, jeśli dane wejściowe są zgodne.

function getCORSHeaderOrigin($allowed, $input)
{
    if ($allowed == '*') {
        return '*';
    }

    $allowed = preg_quote($allowed, '/');

    if (($wildcardPos = strpos($allowed, '*')) !== false) {
        $allowed = str_replace('*', '(.*)', $allowed);
    }

    $regexp = '/^' . $allowed . '$/';

    if (!preg_match($regexp, $input, $matches)) {
        return 'none';
    }

    return $input;
}

A oto przypadki testowe dla dostawcy danych phpunit:

//    <description>                            <allowed>          <input>                   <expected>
array('Allow Subdomain',                       'www.example.com', 'www.example.com',        'www.example.com'),
array('Disallow wrong Subdomain',              'www.example.com', 'ws.example.com',         'none'),
array('Allow All',                             '*',               'ws.example.com',         '*'),
array('Allow Subdomain Wildcard',              '*.example.com',   'ws.example.com',         'ws.example.com'),
array('Disallow Wrong Subdomain no Wildcard',  '*.example.com',   'example.com',            'none'),
array('Allow Double Subdomain for Wildcard',   '*.example.com',   'a.b.example.com',        'a.b.example.com'),
array('Don\'t fall for incorrect position',    '*.example.com',   'a.example.com.evil.com', 'none'),
array('Allow Subdomain in the middle',         'a.*.example.com', 'a.bc.example.com',       'a.bc.example.com'),
array('Disallow wrong Subdomain',              'a.*.example.com', 'b.bc.example.com',       'none'),
array('Correctly handle dots in allowed',      'example.com',     'exampleXcom',            'none'),

Podczas ustawiania Access-Control-Allow-Originw .htaccess działały tylko następujące elementy:

SetEnvIf Origin "http(s)?://(.+\.)?domain\.com(:\d{1,5})?$" CRS=$0
Header always set Access-Control-Allow-Origin "%{CRS}e" env=CRS

Próbowałem kilka innych je słów kluczowych Header append, Header set, nikt nie pracował jak zasugerowano w wielu odpowiedziach na SO, choć nie mam pojęcia, czy te słowa są nieaktualne lub niepoprawne dla nginx .

Oto moje kompletne rozwiązanie:

SetEnvIf Origin "http(s)?://(.+\.)?domain\.com(:\d{1,5})?$" CRS=$0
Header always set Access-Control-Allow-Origin "%{CRS}e" env=CRS
Header merge Vary "Origin"

Header always set Access-Control-Allow-Methods "GET, POST"
Header always set Access-Control-Allow-Headers: *

# Cached for a day
Header always set Access-Control-Max-Age: 86400

RewriteEngine On

# Respond with 200OK for OPTIONS
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

Mieliśmy podobne problemy z Font Awesome w statycznej domenie „bez plików cookie” podczas czytania czcionek z „domeny plików cookie” (www.domain.tld) ​​i ten post był naszym bohaterem. Zobacz tutaj: jak mogę rozwiązać problem z nagłówkiem odpowiedzi „Brak odpowiedzi nagłówka odpowiedzi CORS”?

Dla typów kopiuj / wklej-r (i podaj kilka rekwizytów) poskładałem to razem ze wszystkich wkładów i dodałem na początku pliku .htaccess katalogu głównego witryny:

<IfModule mod_headers.c>
 <IfModule mod_rewrite.c>
    SetEnvIf Origin "http(s)?://(.+\.)?(othersite\.com|mywebsite\.com)(:\d{1,5})?$" CORS=$0
    Header set Access-Control-Allow-Origin "%{CORS}e" env=CORS
    Header merge  Vary "Origin"
 </IfModule>
</IfModule>

Super Secure, Super Elegant. Uwielbiam to: nie musisz otwierać przepustowości serwerów dla typów złodziei zasobów / hot-link-er.

Rekwizyty do: @Noyo @DaveRandom @ pratap-koritala

(Próbowałem zostawić to jako komentarz do zaakceptowanej odpowiedzi, ale nie mogę tego jeszcze zrobić)

Dla Spring Boot znalazłem to, RegexCorsConfigurationco rozszerza oficjalny CorsConfiguration: https://github.com/looorent/spring-security-jwt/blob/master/src/main/java/be/looorent/security/jwt/RegexCorsConfiguration.java

Wygląda na to, że oryginalna odpowiedź dotyczyła wersji Apache 2.4. Nie działało to dla mnie. Oto, co musiałem zmienić, aby działało w 2.4. Będzie to działać dla dowolnej głębokości poddomeny twojej firmy .

SetEnvIf Host ^((?:.+\.)*yourcompany\.com?)$    CORS_ALLOW_ORIGIN=$1
Header append Access-Control-Allow-Origin  %{REQUEST_SCHEME}e://%{CORS_ALLOW_ORIGIN}e    env=CORS_ALLOW_ORIGIN
Header merge  Vary "Origin"

Musiałem nieco zmodyfikować odpowiedź Larsa , gdy osierocony \trafił do wyrażenia regularnego, aby porównać tylko rzeczywistego hosta (nie zwracając uwagi na protokół lub port) i chciałem wesprzeć localhostdomenę oprócz mojej domeny produkcyjnej. Dlatego zmieniłem $allowedparametr na tablicę.

function getCORSHeaderOrigin($allowed, $input)
{
    if ($allowed == '*') {
        return '*';
    }

    if (!is_array($allowed)) {
        $allowed = array($allowed);
    }

    foreach ($allowed as &$value) {
        $value = preg_quote($value, '/');

        if (($wildcardPos = strpos($value, '\*')) !== false) {
            $value = str_replace('\*', '(.*)', $value);
        }
    }

    $regexp = '/^(' . implode('|', $allowed) . ')$/';

    $inputHost = parse_url($input, PHP_URL_HOST);

    if ($inputHost === null || !preg_match($regexp, $inputHost, $matches)) {
        return 'none';
    }

    return $input;
}

Zastosowanie w następujący sposób:

if (isset($_SERVER['HTTP_ORIGIN'])) {
    header("Access-Control-Allow-Origin: " . getCORSHeaderOrigin(array("*.myproduction.com", "localhost"), $_SERVER['HTTP_ORIGIN']));
}

w moim przypadku za pomocą kątownika

w moim przechwytywaczu HTTP ustawiłem

with Credentials: true.

w nagłówku żądania