最佳方法：Access-Control-Allow-Origin Multiple Origin Domains

Question

这个问题以前在这里被问过，并给出了一系列很好的答案，主要是： Access-Control-Allow-Origin Multiple Origin Domains?

但是，就应采用的批准方法而言，解释似乎存在差距。通读 W3 文档，我们发现在我看来是指导冲突。

首先，我们在许多先前的答案中看到给出的答案是正确的方法，这表明主机服务器必须动态回显给定的“来源”，如果它出现在预定义的“白名单”。 http://www.w3.org/TR/cors/#resource-implementation

然而，许多使用的答案和方法也暗示了一个空格分隔的列表，它也可以用作传递多个“起源”以允许的方法。如果我们看一下http://www.w3.org/wiki/CORS_Enabled 的另一篇 W3 文档，我们会在页面的第一部分看到这样的示例：

 Access-Control-Allow-Origin: http://example.com:8080 http://blah.example.com http://foo.example.com

在这两种方法中，我同样很乐意将其中任何一种合并，但是可能会有大量 URL 需要被列入名单，所以我想确保我第一次这样做是正确的。如果有人对上述两种方法有任何见解，我将非常感激听到您在选择中做出的决定，并且如果有我可能错过的推荐方法的明确指南。

Answer 1

有关此的文档似乎暗示它允许使用空格分隔列表的多个来源，但这并不是它的实际含义。以下是我可以收集到的最明确的答案：只要您允许，Access-Control-Allow-Origin 标头的值应该与 Origin 标头相同。

您将其发送回客户端的原因不是白名单，因为从技术上讲，客户端可以发送以空格分隔的来源列表，以便服务器可以验证请求。源列表的目的是因为请求可能来自多个源（即请求被重定向到跨域）。 A test suite 可以通过不同的重定向可能性轻松观察这种行为，即使从未生成空格分隔列表（至少由 Firefox 生成）。

这在您提供的第一个linked W3C document 下方有说明：

Access-Control-Allow-Origin 标头指示是否可以通过在响应中返回 Origin 请求标头的值、“*”或“null”来共享资源。 ABNF：

Access-Control-Allow-Origin = "Access-Control-Allow-Origin" ":" origin-list-or-null | “*”

在实践中，origin-list-or-null 产生式受到更多限制。它不允许以空格分隔的来源列表，而是单个来源或字符串“null”。

又是the definition of the origin list。此外，它还显示如果您确实希望允许字符串“null”作为来源，那么无论如何它都无法嵌入到来源列表中。

所以坚持使用基于客户端的Origin 标头动态生成的标头以及它是否与您的白名单匹配。

Answer 2

如果您需要允许包含特定单词“示例”的来源，您可以在您的 apache vhost 中使用以下配置。

SetEnvIf Origin "^((?:https?:\/\/)?(?:[^@\n]+@)?(?:www.)?.example?.*)" REFERER=$0 
Header always set Access-Control-Allow-Origin %{REFERER}e env=REFERER

这将满足以下一些 Origin 条件：

http://abc.bcd.example.com
https://www.example.in 
http://abcdexample.com 
many more

您可以根据需要调整上述正则表达式。