浏览器不在 Origin 标头中发送 FQDN

Question

在 CORS 的上下文中，是否可以强制浏览器始终发送带有 FQDN 的 Origin 标头？目标服务应该看到 Origin: http://website.intranet.example.com/page.html 而不是 Origin: http://website/page.html。

正如示例所暗示的，这是一个 Intranet 环境，目标是按子域过滤请求来源，以允许托管在域计算机 (*.intranet.example.com) 上的任何页面向同样托管在同一个域。问题（如果您愿意的话）是 Intranet 站点通常被寻址为 http://website/，其余部分由连接特定的 DNS 后缀暗示：intranet.example.com 通过域策略设置。

我能想到的唯一解决方法是要求所有“原始”页面强制使用规范 URL（即将 //foo 重定向到 //foo.intranet.example.com），同时“丑陋 URL”的副作用最小。

Answer 1

在 CORS 上下文中，与其尝试为短域名和完全限定域名获取相同的 Origin 值，您可以只关注服务器是否应允许请求继续进行，无论是否存在任何 Origin 值：

假设为了允许跨域请求，响应服务器只需要响应一个合适的 Access-Control-Allow-Origin 响应头，你可以用通配符值响应说任何传入的 Origin 都可以：

Access-Control-Allow-Origin: *

如果您的客户端需要一个特定的域而不是通配符，您可以让网络服务器在您选择允许请求继续的情况下回显传入的 Origin 标头的值，而不管 Origin 值表示的是什么。

例如在 Apache 中，使用 SetEnvIf 和 Header 模块编写包含原始值的环境变量，如果该值与特定的正则表达式匹配，则如果该变量存在，则使用环境变量的值写入 Access-Control-Allow-Origin 响应标头：

SetEnvIf Origin "(.+)" origin_header_value=$1
Header set Access-Control-Allow-Origin "%{origin_header_value}e" env=origin_header_value

如果您需要更精细地控制网络服务器是否以这种方式包含 Access-Control-Allow-Origin 标头，您可以在 SetEnvIf 命令中设置更严格的正则表达式，而不是使用.+。