访问控制允许来源多个来源域？

PHP代码：

$httpOrigin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : null;
if (in_array($httpOrigin, [
    'http://localhost:9000', // Co-worker dev-server
    'http://127.0.0.1:9001', // My dev-server
])) header("Access-Control-Allow-Origin: ${httpOrigin}");
header('Access-Control-Allow-Credentials: true');

---

如果您遇到字体问题，请使用：

<FilesMatch "\.(ttf|ttc|otf|eot|woff)$">
    <IfModule mod_headers>
        Header set Access-Control-Allow-Origin "*"
    </IfModule>
</FilesMatch>

---

并非所有浏览器都使用 HTTP_ORIGIN。 How secure is HTTP_ORIGIN? 对我来说，它在 FF 中是空的。
我让允许访问我的网站的网站通过网站 ID 发送，然后我检查我的数据库中具有该 ID 的记录并获取 SITE_URL 列值 ( www.yoursite.com）。

header('Access-Control-Allow-Origin: http://'.$row['SITE_URL']);

即使通过有效的站点 ID 发送请求也需要来自与该站点 ID 关联的我的数据库中列出的域。

---

这是 apache 的扩展选项，其中包括一些最新和计划的字体定义：

<FilesMatch "\.(ttf|otf|eot|woff|woff2|sfnt|svg)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "^http(s)?://(.+\.)?(domainname1|domainname2|domainname3)\.(?:com|net|org)$" AccessControlAllowOrigin=$0$1$2
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header set Access-Control-Allow-Credentials true
    </IfModule>
</FilesMatch>

---

为了对 .NET 应用程序进行相当简单的复制/粘贴，我编写此代码是为了从 global.asax 文件中启用 CORS。此代码遵循当前接受的答案中给出的建议，将请求中给出的任何来源反映到响应中。这有效地实现了'*'而不使用它。

这样做的原因是它启用了多个其他 CORS 功能，包括发送 AJAX XMLHttpRequest 并将“withCredentials”属性设置为“true”的能力。

void Application_BeginRequest(object sender, EventArgs e)
{
    if (Request.HttpMethod == "OPTIONS")
    {
        Response.AddHeader("Access-Control-Allow-Methods", "GET, POST");
        Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept");
        Response.AddHeader("Access-Control-Max-Age", "1728000");
        Response.End();
    }
    else
    {
        Response.AddHeader("Access-Control-Allow-Credentials", "true");

        if (Request.Headers["Origin"] != null)
            Response.AddHeader("Access-Control-Allow-Origin" , Request.Headers["Origin"]);
        else
            Response.AddHeader("Access-Control-Allow-Origin" , "*");
    }
}

---

为了方便一个 ASMX 服务的多域访问，我在 global.asax 文件中创建了这个函数：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    string CORSServices = "/account.asmx|/account2.asmx";
    if (CORSServices.IndexOf(HttpContext.Current.Request.Url.AbsolutePath) > -1)
    {
        string allowedDomains = "http://xxx.yyy.example|http://aaa.bbb.example";

        if(allowedDomains.IndexOf(HttpContext.Current.Request.Headers["Origin"]) > -1)
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", HttpContext.Current.Request.Headers["Origin"]);

        if(HttpContext.Current.Request.HttpMethod == "OPTIONS")
            HttpContext.Current.Response.End();
    }
}

这也允许 CORS 处理 OPTIONS 动词。

---

用于匹配子域的 PHP 代码示例。

if( preg_match("/http:\/\/(.*?)\.yourdomain.example/", $_SERVER['HTTP_ORIGIN'], $matches )) {
        $theMatch = $matches[0];
        header('Access-Control-Allow-Origin: ' . $theMatch);
}

---

AWS Lambda/API 网关

有关如何在无服务器 AWS Lambda 和 API Gateway 上配置多个源的信息——尽管对于人们认为应该非常简单的事情来说，这是一个相当大的解决方案——请参见此处：

https://stackoverflow.com/a/41708323/1624933

目前无法在 API Gateway 中配置多个来源，请参见此处：https://docs.aws.amazon.com/apigateway/latest/developerguide/how-to-cors-console.html），但建议（在上面的答案中）是：

检查浏览器发送的 Origin 标头

对照来源白名单检查它

如果匹配，则将传入的 Origin 作为 Access-Control-Allow-Origin 标头返回，否则返回占位符（默认来源）。

简单的解决方案显然是像这样启用 ALL (*)：

exports.handler = async (event) => {
    const response = {
        statusCode: 200,
        headers: {
            "Access-Control-Allow-Origin": "*",
            "Access-Control-Allow-Credentials" : true // Required for cookies, authorization headers with HTTPS
        },
        body: JSON.stringify([{

但在 API Gateway 端执行此操作可能会更好（请参阅上面的第二个链接）。

---

我有 https://stackoverflow.com/a/7454204/13779574 此代码运行良好，但在用户进入该页面时出现错误。我用这段代码解决了这个问题。

if (isset($_SERVER['HTTP_ORIGIN'])) {
   $http_origin = $_SERVER['HTTP_ORIGIN'];
   if ($http_origin == "http://localhost:3000" || $http_origin == "http://api.loc/"){  
      header("Access-Control-Allow-Origin: $http_origin");
   }
}

---

在 Django 中还有一个答案。要让一个视图允许来自多个域的 CORS，这是我的代码：

def my_view(request):
    if 'HTTP_ORIGIN' in request.META.keys() and request.META['HTTP_ORIGIN'] in ['http://allowed-unsecure-domain.com', 'https://allowed-secure-domain.com', ...]:
        response = my_view_response() # Create your desired response data: JsonResponse, HttpResponse...
        # Then add CORS headers for access from delivery
        response["Access-Control-Allow-Origin"] = request.META['HTTP_ORIGIN']
        response["Access-Control-Allow-Methods"] = "GET" # "GET, POST, PUT, DELETE, OPTIONS, HEAD"
        response["Access-Control-Max-Age"] = "1000"  
        response["Access-Control-Allow-Headers"] = "*"  
        return response

---

Google 对 serving ads over SSL 和 grammar in the RFC itself 的支持答案似乎表明您可以用空格分隔 URL。不确定在不同的浏览器中对此的支持程度如何。

---

如果您尝试像我这样使用 CORS 使其工作的代码示例如此之多，那么值得一提的是，您必须先清除缓存以尝试它是否确实有效，类似于旧图像仍然存在时的问题，即使它是在服务器上删除（因为它仍然保存在您的缓存中）。

例如谷歌浏览器中的 CTRL + SHIFT + DEL 删除您的缓存。

这有助于我在尝试了许多纯 .htaccess 解决方案后使用此代码，这似乎是唯一一个有效的解决方案（至少对我而言）：

    Header add Access-Control-Allow-Origin "http://google.com"
    Header add Access-Control-Allow-Headers "authorization, origin, user-token, x-requested-with, content-type"
    Header add Access-Control-Allow-Methods "PUT, GET, POST, DELETE, OPTIONS"

    <FilesMatch "\.(ttf|otf|eot|woff)$">
        <IfModule mod_headers.c>
            SetEnvIf Origin "http(s)?://(www\.)?(google.com|staging.google.com|development.google.com|otherdomain.com|dev02.otherdomain.net)$" AccessControlAllowOrigin=$0
            Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        </IfModule>
    </FilesMatch>

另请注意，许多解决方案都说您必须输入 Header set ... 但它是 Header add ... 的情况很普遍。希望这可以帮助像我这样在几个小时内遇到同样麻烦的人。

---

下面的答案特定于 C#，但这个概念应该适用于所有不同的平台。

要允许来自 web api 的跨域请求，您需要允许对您的应用程序的选项请求，并在控制器级别添加以下注释。

[EnableCors(UrlString,Header, Method)] 现在只能将来源作为字符串传递。因此，如果您想在请求中传递多个 URL，请将其作为逗号分隔值传递。

网址字符串 = "https://a.hello.com,https://b.hello.com"

---

只能为 Access-Control-Allow-Origin 标头指定一个来源。但是您可以根据请求在响应中设置来源。也不要忘记设置 Vary 标头。在 PHP 中，我会执行以下操作：

    /**
     * Enable CORS for the passed origins.
     * Adds the Access-Control-Allow-Origin header to the response with the origin that matched the one in the request.
     * @param array $origins
     * @return string|null returns the matched origin or null
     */
    function allowOrigins($origins)
    {
        $val = $_SERVER['HTTP_ORIGIN'] ?? null;
        if (in_array($val, $origins, true)) {
            header('Access-Control-Allow-Origin: '.$val);
            header('Vary: Origin');

            return $val;
        }

        return null;
    }

  if (allowOrigins(['http://localhost', 'https://localhost'])) {
      echo your response here, e.g. token
  }

---

我也面临同样的问题。我的客户端在 9097 上，api 网关在 9098 上，微服务在....实际上我在我的网关 yml 文件中使用了 spring cloud Api 网关，我允许跨域之类的——... allowedOrigins：“http://localhost:9097 "

在我的微服务中我也在使用@crossOrigin

当客户端向 api 网关发送请求时，响应中出现了两个“Access-Control-Allow-Origin”标头 [一个来自 api yml 文件，一个来自微服务 @crossorigin]，因此浏览器阻止了请求

我解决了它 -

    @Bean
public RouteLocator getRL(RouteLocatorBuilder builder) {
    
return  builder.routes()
    
        .route(p-> 
         "/friendlist","/guest/**"
                )
         .filters(f ->{
             //f.removeResponseHeader("Access-Control-Allow-Origin");
             //f.addResponseHeader("Access-Control-Allow-Origin","http://localhost:9097");
             f.setResponseHeader("Access-Control-Allow-Origin","http://localhost:9097");
             return f;
         })
        .uri("lb://OLD-SERVICE")
        
        
    ).build();      
}

---