☰

Nginx – 跨域请求被阻止

tag-icon • tag-icon nginx cors
Nginx – 跨域请求被阻止

我们收到此错误：

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://stats.g.doubleclick.net

在我们的 nginx 配置中，我们有：

add_header X-Frame-Options SAMEORIGIN always;
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options nosniff always;
add_header Content-Security-Policy "default-src 'self' https: data: 'unsafe-inline' 'unsafe-eval';" always;
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";

不确定该指令及其语法如何仅允许doubleclick.net我们自己的域。

答案1

在内部location（proxy_pass例如使用指令），您可以动态生成正确的标题：

        if ($http_origin ~ '^(?:https?://)?(?:[a-z0-9_.-]+\.)?(?:doubleclick\.net|example\.com)$')
        {
            more_set_headers 'Access-Control-Allow-Origin: $http_origin';
            more_set_headers 'Access-Control-Allow-Methods: GET, OPTIONS, POST';
        }

如果您不理解正则表达式，请询问。

例如，如果您没有 Ubuntu，则可以替换more_set_headers为。请注意语法略有不同。add_headernginx-extras

此解决方案对于此目的而言足够安全。据我所知，在标准浏览器中伪造源标头并不容易。curl您可以使用（测试它）：

curl -H 'Origin: https://example.com' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

和：

curl -H 'Origin: https://stats.g.doubleclick.net' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

两者都应返回两个access-control标头。未经测试。

相关内容