可以使用“if”来设置 CORS 标头吗？

Question

处理CORS请求的common solution如下：

location ... {
    add_header  Access-Control-Allow-Origin       ...;
    add_header  Access-Control-Allow-Credentials  ...;
    add_header  Access-Control-Allow-Headers      ...;
    add_header  Access-Control-Allow-Methods      ...;

    if ($request_method = 'OPTIONS') {
        add_header  Access-Control-Allow-Origin       ...;
        add_header  Access-Control-Allow-Credentials  ...;
        add_header  Access-Control-Allow-Headers      ...;
        add_header  Access-Control-Allow-Methods      ...;
        return 204;
    }
}

但是if 是evil。这样使用安全吗？

UPD顺便说一句，从I can see 来看，不需要重复的add_header。

Answer 1

您不需要if。取几个maps（在location 或server 块之外-> 仅在http 块中有效）。

map $request_method $one
{
    default '…';
    get '…';
    options '…';
    post '…';
}

map $request_method $two
{
    default '…';
    get '…';
    options '…';
    post '…';
}

map $request_method $three
{
    default '…';
    get '…';
    options '…';
    post '…';
}

map $request_method $four
{
    default '…';
    get '…';
    options '…';
    post '…';
}

忽略大小写匹配字符串。只要不是普通的正则表达式。

map 的第一个参数是输入（在本例中为$request_method）。根据匹配，在映射的第二个参数中创建一个新变量（在本例中为 $one、$two、$three、$four（您可以根据需要命名））与匹配的 @ 987654333@内容。

more_set_headers 'Access-Control-Allow-Origin: $one';
more_set_headers 'Access-Control-Allow-Credentials: $two';
more_set_headers 'Access-Control-Allow-Headers: $three';
more_set_headers 'Access-Control-Allow-Methods: $four';

未经测试。