nginx 配置以启用具有源匹配的 CORS

Question

我尝试将a very popular config 用于 nginx，它启用了 CORS 并支持使用正则表达式进行源匹配。

这是我的配置：

server {
    listen 80 default_server;
    root /var/www;

    location / {
        if ($http_origin ~ '^http://(www\.)?example.com$') {
            add_header Access-Control-Allow-Origin "$http_origin";
        }

        # Handling preflight requests
        if ($request_method = OPTIONS) {
            add_header Content-Type text/plain;
            add_header Content-Length 0;
            return 204;
        }
    }
}

但是，此配置必须使用两个条件：一个与源域名匹配，另一个用于捕获预检请求。因此，当第二个条件匹配时，第一个条件的标头不会添加到响应中。

根据If Is Evil官方文章，这是nginx的预期行为。

如果If Is Evil 那么如何在 nginx 中启用 CORS？或者也许有办法以某种方式克服这个限制？

Answer 1

你可以尝试使用map而不是第一个if块：

map $http_origin $allow_origin {
    ~^http://(www\.)?example.com$ $http_origin;
}
map $http_origin $allow_methods {
    ~^http://(www\.)?example.com$ "OPTIONS, HEAD, GET";
}

server {
    listen 80 default_server;
    root /var/www;

    location / {
        add_header Access-Control-Allow-Origin $allow_origin;
        add_header Access-Control-Allow-Methods $allow_methods;

        # Handling preflight requests
        if ($request_method = OPTIONS) {
            add_header Content-Type text/plain;
            add_header Content-Length 0;
            return 204;
        }
    }
}

nginx 将拒绝添加空的 HTTP 标头，因此只有在请求中存在 Origin 标头并且匹配此正则表达式时才会添加它们。

Answer 2

到目前为止，我发现的only solution 是一种使用变量来聚合多个条件，然后仅将其与单个 if 语句匹配的技巧，因此重复了一些指令：

server {
    listen 80 default_server;
    root /var/www;

    location / {
        set $cors '';
        set $cors_allowed_methods 'OPTIONS, HEAD, GET';

        if ($http_origin ~ '^https?://(www\.)?example.com$') {
            set $cors 'origin_matched';
        }

        # Preflight requests
        if ($request_method = OPTIONS) {
            set $cors '${cors} & preflight';
        }

        if ($cors = 'origin_matched') {
            add_header Access-Control-Allow-Origin $http_origin;
        }

        if ($cors = 'origin_matched & preflight') {
            add_header Access-Control-Allow-Origin $http_origin always;
            add_header Access-Control-Allow-Methods $cors_allowed_methods;
            add_header Content-Type text/plain;
            add_header Content-Length 0;
            return 204;
        }
    }
}

Answer 3

如果不深入了解您的 nginx 设置的详细信息，它无论如何都不会工作，因为您返回的 CORS 标头不正确...

具体来说：

• 对于预检 (OPTIONS) 请求，以下是唯一有意义的 CORS 响应标头：Access-Control-Allow Origin、（必需）、Access-Control-Allow Credentials（可选）、Access-Control-Allow-Methods、（必需）、Access-Control-Allow-Headers、（必需） 和 Access-Control-Max-Age，（可选）。任何其他都将被忽略。

• 对于常规（非 OPTIONS）请求，以下是唯一有意义的 CORS 响应标头：Access-Control-Allow Origin（必需）、Access-Control-Allow Credentials（可选）和 Access-Control-Expose-Headers（可选的）。任何其他都将被忽略。

注意那些 required 飞行前请求的标头 - 目前您只传递其中两个...另外，请注意您不需要返回Access-Control-Allow-Methods 用于非 OPTIONS 请求 - 它不是“有效的”，因此将被忽略。

就您的具体 nginx 问题而言，我认为 @Slava Fomin II 有最正确的答案...

Answer 4

更合规的解决方案涉及更多，但确实会删除重复的正则表达式以进行域匹配，并且可以放入 sn-ps。

我在http { ... } 块内创建了文件/etc/nginx/snippets/cors-maps.conf，它必须是included。它包含如下规则：

# always set value to append to Vary if Origin is set
map $http_origin $cors_site_v
{
    ~. 'Origin';
}
# set site-specific origin header if it matches our domain
map $http_origin $cors_site_origin
{
    '~^https://(?:[-a-z\d]+\.)+example\.com$' $http_origin;
}
# validate the options only if domain matched
map '$request_method#$cors_site_origin#$http_access_control_request_method' $cors_site_options
{
    # is an allowed method
    '~^OPTIONS#.+#(?:GET|HEAD|POST|OPTIONS)$' okay;
    # requested an unknown/disallowed method
    '~^OPTIONS#.' nope;
}
# set value of Access-Control-Allow-Origin only if domain matched
map '$request_method#$cors_site_origin' $cors_site_acao
{
    '~^(?:GET|HEAD|POST)#.' $cors_site_origin;
}
# set value of Access-Control-Allow-Credentials only if Origin was allowed
map $cors_site_acao $cors_site_acac
{
    ~. 'true';
}

然后/etc/nginx/snippets/cors-site.conf 可以是多个location { ... } 块内的included：

# only using "if" safely with a "return" as explained in https://www.nginx.com/resources/wiki/start/topics/depth/ifisevil/
# return early without access headers for invalid pre-flight, because origin matched domain
if ($cors_site_options = nope)
{
    add_header Vary $cors_site_v;
    return 204 '';
}
# return early with access headers for valid pre-flight
if ($cors_site_options = okay)
{
    add_header Access-Control-Allow-Origin $cors_site_origin;
    add_header Access-Control-Allow-Credentials $cors_site_acac;
    add_header Vary $cors_site_v;
    add_header Access-Control-Allow-Methods 'GET, HEAD, POST, OPTIONS';
    # probably overkill, gleaned from others' examples
    add_header Access-Control-Allow-Headers 'Accept, Accept-Language, Authorization, Cache-Control, Content-Language, Content-Type, Cookie, DNT, If-Modified-Since, Keep-Alive, Origin, User-Agent, X-Mx-ReqToken, X-Requested-With';
    add_header Access-Control-Max-Age 1728000;
    return 204 '';
}
# conditionally set headers on actual requests, without "if", because directive ignored when values are empty strings ("map" default)
add_header Access-Control-Allow-Origin $cors_site_acao;
add_header Access-Control-Allow-Credentials $cors_site_acac;
add_header Vary $cors_site_v;

要匹配的值中的# 并不特殊，它们只是用作分隔符以允许使用多个输入变量进行测试。可以将额外的域添加到 map 的 $cors_site_origin，但需要进行一些调整以支持具有不同允许选项/标题的域。