Express CORS 子域

Question

我有一个站点 —https://example.com- 调用 API —https://api.example.com-。 API 是用 Express 编写的，它使用CORS package 来允许来自站点的请求：

app.use(
    cors({
        credentials: true,
        origin: "https://example.com",
    })
);

可以通过https://example.com 或https://www.example.com 访问该站点。如您所见，在 API 中明确允许来自前一个地址的请求，但不允许来自后者的请求。因此，如果有人通过后一个地址访问它，对 API 的请求将被拒绝。

解决这个问题的常用方法是什么？明确允许https://example.com 和https://www.example.com？或者也许有一种方法可以忽略子域www？

提前致谢！

--

编辑：

按照建议，我将 https://www.example.com 明确添加到 cors 配置中

app.use(
    cors({
        credentials: true,
        origin: ["https://example.com", "https://www.example.com"],
    })
);

但这没有用。作为一种解决方法，我刚刚做的是使用.htaccess 文件（Apache 服务器）中的重写条件从www 域重定向到非www 域。

但现在的问题是：为什么即使允许 www.example.com 也不起作用？有什么共同的原因吗？

Answer 1

通常的方法是避免让两个来源不同但内容相同的网站。

配置www.example.com 以发出HTTP 301 重定向到example.com。

---

明确允许https://example.com 和https://www.example.com？

那也行。 origin 可以传递一个数组。

或者也许有一种方法可以忽略子域 www？

origin 也可以传递正则表达式。

Answer 2

您需要同时允许这两个域。执行此操作的 API 有点复杂。基本上你需要阅读documentation of the CORS package:

app.use(
    cors({
        credentials: true,
        origin: function (origin callback) {
            switch (origin) {
                case "https://example.com":
                case "https://www.example.com":
                    callback(null, true); // allow these domains
                    break;
                default:
                    callback(new Error('Now allowed')); // block others
            }
        },
    })
);

origin 的值只能是字符串，也可以是您自己实现为函数的自定义逻辑。