带有客户端 https 证书的 CORS

Question

我有一个带有两个 https 服务器的站点。一个（前端）提供由静态页面组成的 UI。另一个（后端）提供微服务。他们俩碰巧都使用相同的（测试）X509 证书来标识自己。单独来说，我可以通过需要客户端证书“tester”的 https 连接到它们。

到目前为止，我们一直在通过 nginx 设置来隐藏 CORS 问题，该设置使前端和后端看起来是相同的 Origin。我已经为所有请求实现了标题“Access-Control-Allow-Origin”、“Access-Control-Allow-Credentials”；带有用于预检检查请求的方法、标头 (OPTIONS)。

• 在 Chrome 中，像这样的跨站点可以正常工作。我可以看到前端 URL 和后端 URL 是不同的站点。我看到在发出后端请求之前发出了 OPTIONS 请求。

• 尽管 Chrome 似乎不需要它，但我确实找到了将用于执行请求的 xmlhttprequest 对象并在其上执行了xhr.withCredentials = true，因为这似乎是 fetch.js 在幕后所做的当它得到"credentials":"include"。我注意到有一个可用的 xhr.setRequestHeader 函数，我可能需要使用它来让 Firefox 开心。

  • Firefox 的 UI 调用行为相同。但是对于所有后端调用，我得到一个 405。当它这样做时，没有与服务器建立网络连接。浏览器只是决定这是一个 405 而不执行任何 https 请求。尽管这与 Chrome 的行为不同，但它是有道理的。前端 UI 和后端服务都需要选择客户端证书。当我连接到 UI 时，我选择了证书“tester”。当它发出后端请求时，它可以假设应该使用相同的客户端证书来到达后端。但也许它假设它可能会有所不同，我还需要告诉 Firefox。

这里有没有人使用 CORS 和这样的 2 路 SSL 证书，并且遇到了这个 Firefox 问题并在某个地方修复了它。我怀疑这不是服务器端修复，而是客户端需要做的事情。

Answer 1

将 CORS 与凭据（基本身份验证、cookie、客户端证书等）一起使用时：

• Access-Control-Allow-Credentials 必须是true
• Access-Control-Allow-Origin 不得为*
• Access-Control-Allow-Origin 不得是多值（既不重复也不以逗号分隔）
• Access-Control-Allow-Origin 必须设置为与请求的 Origin 标头完全相同的值，以使请求能够工作（以这种方式进行硬编码，或者如果它通过允许值的白名单）李>
• 预检 OPTIONS 请求不得需要凭据（包括客户端证书）。预检的部分目的是询问 CORS 请求中允许的内容，因此在知道是否允许之前发送凭据是不正确的。
• 预检 OPTIONS 请求必须返回 200 级响应，一般为 204

注意：对于 Access-Control-Allow-Origin，您可能需要考虑允许值 null，因为重定向链（如通常用于 OAuth 的链）可能会导致来自浏览器的请求中出现 Origin 值。

Answer 2

我实际上并没有使用客户端证书对此进行过测试，但我似乎记得如果将Access-Control-Allow-Origin 设置为* 通配符而不是实际域，Firefox 将不会发送凭据。请参阅 MDN 上的 this page。

此外，Firefox 将 CORS 请求发送到期望客户端证书在 TLS 握手中呈现的服务器也存在问题。基本上，Firefox 不会在预检期间发送证书，从而产生先有鸡还是先有蛋的问题。请参阅 bugzilla 上的 this bug。