Nginx跨域配置

Nginx跨域配置教程

当我们发送 HTTP 请求时,如果出现了 403 跨域错误,那么我们可以在 Nginx 里面配置对应的 HTTP HEADER 来达到允许服务器跨域的目的。

什么是跨域

由于浏览器同源策略的存在使得一个源中加载来自其它源中资源的行为受到了限制。即会出现跨域请求禁止。

通俗一点说就是如果存在协议、域名、端口或者子域名不同服务端,或一者为 IP 地址,一者为域名地址(在跨域问题上,域仅仅是通过 “url 的首部” 来识别而不会去尝试判断相同的 IP 地址对应着两个域或者两个域是否同属同一个 IP),之中任意服务端旗下的客户端发起请求其它服务端资源的访问行动都是跨域的,而浏览器为了安全问题一般都限制了跨域访问,也就是不允许跨域请求资源。

但很多时候我们却又不得不去跨域请求资源,这个时候就需要我们想方法去绕过浏览器同源策略的限制了。

也就是说同源策略是一个安全策略。所谓的同源,指的是协议、域名、端口相同。浏览器处于安全方面的考虑,只允许本域名下的接口交互,不同源的客户端脚本,在没有明确授权的情况下,不能读写对方的资源。

常见跨域场景

当协议,子域名,主域名,端口号中任意一格不相同时,都算作不同源:

  1. 如果是协议和端口造成的跨域问题 “前端” 是无能为力的。

  2. 在跨域问题上,仅仅是通过 “URL 的首部” 来识别而不会根据域名对应的 IP 地址是否相同来判断。“URL 的首部” 可以理解为 “协议,域名和端口必须匹配”。

  3. 请求跨域了,那么到底发出去没有? 跨域并不是请求发不出去,请求能发出去,服务端能收到请求并正常返回结果,只是结果被浏览器拦截了。

跨域解决方案

JSONP

原理

利用 <script> 标签没有跨域限制的漏洞,网页可以得到从其他来源动态产生的 JSON 数据。JSONP 请求一定需要对方的服务器做支持才可以。

与AJAX对比

JSONP 和 AJAX 相同,都是客户端向服务端发送请求,从服务端获取数据的方式。但 AJAX 属于同源策略, JSONP 属于非同源策略(跨域请求)。

优缺点

JSONP 优点是简单兼容性好,可用于解决主流浏览器的跨域数据访问的问题。缺点是仅仅支持 get 方法具有局限性,不安全可能会遭受 XSS 攻击。

实现流程

  1. 声明一个回调函数,其函数名(如 show)当做参数值,要传递给跨域请求数据的服务器,函数形参为要获取目标数据(服务器返回的 data)。

  2. 创建一个 <script src=> 标签,把那个跨域的 API 数据接口地址,赋值给 script 的 src, 还要在这个地址中向服务器传递该函数名(可以通过问号传参 ?callback=show)。

  3. 服务器接收到请求后,需要进行特殊的处理,把传递进来的函数名和它需要给你的数据拼接成一个字符串,例如:传递进去的函数名是 show,它准备好的数据是 show(‘我不爱你’)。

  4. 最后服务器把准备的数据通过 HTTP 协议返回给客户端,客户端再调用执行之前声明的回调函数(show),对返回的数据进行操作。

代码实现

// 封装 JSONP函数 function jsonp({ url, params, callback }) { return new Promise((resolve, reject) => { let script = document.createElement('script'); params = JSON.parse(JSON.stringify(params)); let arrs = []; for (let key in params) { arrs.push(`${key}=${params[key]}`); } arrs.push(`callback=${callback}`); script.src = `${url}?${arrs.join('&')}`; document.body.appendChild(script); window[callback] = function (data) { resolve(data); document.body.removeChild(script); } }) } // 前端调用 jsonp({ url: 'http://localhost:3000/say', params: { wd: 'I Love you' }, callback: 'show' }).then(data => { console.log(data) }) // 后端响应 // 这里用到了 express var express = require('express'); var router = express.Router(); var app = express(); router.get('/say',function(req,res,next) { //要响应回去的数据 let data = { username : 'zs', password : 123456 } let {wd , callback} = req.query; console.log(wd); console.log(callback); // 调用回调函数 , 并响应 res.end(`${callback}(${JSON.stringify(data)})`); }) app.use(router); app.listen(3000);

CORS

原理

CORS 需要浏览器和后端同时支持。IE8 和 IE9 需要通过 XDomainRequest 来实现,浏览器会自动进行 CORS 通信,实现 CORS 通信的关键是后端。只要后端实现了 CORS,实现了跨域。

服务端设置 Access-Control-Allow-Origin 就可以开启 CORS。该属性表示哪些域名可以访问资源,如果设置通配符则表示所有网站都可以访问资源。

虽然设置 CORS 和前端没有什么关系,但是通过这种方式解决跨域问题的话,会在发送请求时出现两种情况,分别为简单请求和复杂请求。

简单请求

只要同时满足以下两个条件,就属于简单请求:

使用下列方法之一:

  • GET
  • HEAD
  • POST

Content-Type 的值仅限于下列三者之一:

  • text/plain
  • multipart/form-data
  • application/x-www-form-urlencoded 请求中的任意 XMLHttpRequestUpload 对象均没有注册任何事件监听器

复杂请求

不符合以上条件的请求就肯定是复杂请求了。复杂请求的 CORS 请求,会在正式通信之前,增加一次 HTTP 查询请,称为 “预检” 请求,该请求是 option 方法的 , 通过该请求来知道服务端是否允许跨域请求。

我们用 PUT 向后台请求时, 属于复杂请求,后台需如下配置:

// 允许哪个方法访问我 res.setHeader('Access-Control-Allow-Methods', 'PUT') // 预检的存活时间 res.setHeader('Access-Control-Max-Age', 6) // OPTIONS请求不做任何处理 if (req.method === 'OPTIONS') { res.end() } // 定义后台返回的内容 app.put('/getData', function(req, res) { console.log(req.headers) res.end('我不爱你') })

接下来我们看下一个完整请求的例子,并且介绍下 CORS 请求相关的字段

//index.html // 前端代码 <script> let xhr = new XMLHttpRequest(); document.cookie = 'name=hw'; xhr.withCredentials = true; //前端设置是否带 cookie xhr.open('PUT','http://localhost:4000/getData',true); xhr.setRequestHeader('name','hw'); xhr.onreadystatechange = function() { if(xhr.readyState === 4) { if(xhr.status >= 200 && xhr.status < 300 || xhr.status === 304) { console.log(JSON.parse(xhr.response)); console.log(xhr.getResponseHeader('name')) } } } xhr.send(); </script> // server1.js let express = require('express'); let app = express(); app.use(express.static(__dirname)) app.listen(3000) // 后端代码 let express = require('express') let app = express() let whitList = ['http://localhost:3000'] //设置白名单 app.use(function(req, res, next) { let origin = req.headers.origin if (whitList.includes(origin)) { // 设置哪个源可以访问我 res.setHeader('Access-Control-Allow-Origin', origin) // 允许携带哪个头访问我 res.setHeader('Access-Control-Allow-Headers', 'name') // 允许哪个方法访问我 res.setHeader('Access-Control-Allow-Methods', 'PUT') // 允许携带cookie res.setHeader('Access-Control-Allow-Credentials', true) // 预检的存活时间 res.setHeader('Access-Control-Max-Age', 6) // 允许返回的头 res.setHeader('Access-Control-Expose-Headers', 'name') if (req.method === 'OPTIONS') { res.end() // OPTIONS请求不做任何处理 } } next() }) app.put('/getData', function(req, res) { let data = { username : 'zs', password : 123456 } console.log(req.headers) res.setHeader('name', 'jw') //返回一个响应头,后台需设置 res.end(JSON.stringify(data)) }) app.get('/getData', function(req, res) { console.log(req.headers) res.end('he') }) app.listen(4000)

postMessage

postMessage 是 HTML5 XMLHttRequest Level 2 中的 API, 并且为数不多跨域跨域操作的 window 属性之一,它可用于解决以下方面的问题:

  • 页面和其打开的新窗口的数据传递
  • 多窗口之间消息传递
  • 页面与嵌套的 iframe 消息传递
  • 上面三个场景的跨域数据传递

postMessage() 方法允许来自不同源的脚本采用异步方式进行有限的通信,可以实现跨文本档,多窗口,跨域消息传递

// API大概是这样的 otherWindow.postMessage(message,targetOrigin,[transfer])

message: 将要发送到其他 window 的数据

targetOrigin: 通过窗口的 origin 属性来指定哪些窗口能接收到消息事件,其值可以是字符串 “*”(表示无限制)。或者一个 URL。在发送消息的时候,如果目标窗口的协议,主机地址或端口这三者的任意一项不匹配 targetOrigin提供的值,那么消息就不会被发送;只有三者完全匹配,消息才会被发送。

transfer(可选):是一串和 message 同时传递的 Transferable 对象。这些对象的所有权将被转移给消息的接收方,而发送一方将不再保有所有权。

websocket

WebSocket 协议本质是一个基于 TCP 的协议,为了建立一个 WebSocket 连接 , 客户端浏览器首先要向服务器发起一个 HTTP 请求 , 这个请求和通常的 HTTP 请求不同 , 包含了一些附加头信息 , 其中附加头信息 "Upgrade:WebSocket" 表明这是一个申请协议升级的 HTTP 请求, 服务器端解析这些附加的头信息然后产生应答信息返回给客户端, 客户端和服务器端的 WebSocket 连接就建立起来了,双方就可以通过这个连接通道自由的传递信息,并且这个连接会持续存在直到客户端或者服务器端的某一方主动的关闭连接。

原生 WebSocket API 使用起来不太方便,我们使用 Socket.io ,它很好地封装了 webSocket 接口,提供了更简单,灵活的接口,也对不支持 webSocket 的浏览器提供了向下兼容。

Nginx配置跨域请求

语法

add_header Access-Control-Allow-Origin *; add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS'; add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization'; if ($request_method = 'OPTIONS') { return 204; }

使用环境

location

说明

  1. Access-Control-Allow-Origin:服务器默认是不被允许跨域的。给 Nginx 服务器配置 Access-Control-Allow-Origin * 后,表示服务器可以接受所有的请求源(Origin),即接受所有跨域的请求。

  2. Access-Control-Allow-Headers 是为了防止出现以下错误:

    Request header field Content-Type is not allowed by Access-Control-Allow-Headers in preflight response.

    这个错误表示当前请求 Content-Type 的值不被支持。其实是我们发起了 “application/json” 的类型请求导致的。

  3. Access-Control-Allow-Methods 是为了防止出现以下错误:

    Content-Type is not allowed by Access-Control-Allow-Headers in preflight response.
  4. 给 OPTIONS 添加 204 的返回,是为了处理在发送 POST 请求时 Nginx 依然拒绝访问的错误,发送 “预检请求” 时,需要用到方法 OPTIONS,所以服务器需要允许该方法。

案例

我们首先,使用 vim 打开 nginx 的默认配置路径,具体命令如下:

vim /etc/nginx/conf.d/default.conf

如下图所示:

61_nginx跨域配置.png

我们执行如上命令,打开配置文件,并增加 expire 配置,具体配置如下:

add_header Access-Control-Allow-Origin *;add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS';add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';if ($request_method = 'OPTIONS') { return 204;}

加入之后,配置如下图所示:

62_nginx跨域配置.png

现在,我们重新加载配置,即可生效。

Nginx跨域配置总结

当我们发送 HTTP 请求时,如果出现了 403 跨域错误,那么我们可以在 Nginx 里面配置对应的 HTTP HEADER 来达到允许服务器跨域的目的。