☰

Nginx - クロスオリジンリクエストがブロックされました

tag-icon • tag-icon nginx cors
Nginx - クロスオリジンリクエストがブロックされました

次のエラーが発生します:

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://stats.g.doubleclick.net

私たちの nginx 設定には次のものがあります:

add_header X-Frame-Options SAMEORIGIN always;
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options nosniff always;
add_header Content-Security-Policy "default-src 'self' https: data: 'unsafe-inline' 'unsafe-eval';" always;
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";

doubleclick.net独自のドメインのみを許可する方法に関するディレクティブとその構文はわかりません。

答え1

内部ではlocation（proxy_passたとえばディレクティブを使用して）、正しいヘッダーを動的に生成できます。

        if ($http_origin ~ '^(?:https?://)?(?:[a-z0-9_.-]+\.)?(?:doubleclick\.net|example\.com)$')
        {
            more_set_headers 'Access-Control-Allow-Origin: $http_origin';
            more_set_headers 'Access-Control-Allow-Methods: GET, OPTIONS, POST';
        }

正規表現について分からないことがあれば質問してください。

たとえば、Ubuntu をお持ちでない場合は、more_set_headersに置き換えることができます。構文が少し異なることに注意してください。add_headernginx-extras

このソリューションは、その目的には十分安全です。私の知る限り、標準ブラウザで origin ヘッダーを偽装するのはそれほど簡単ではありません。curl次の方法で (テストできます):

curl -H 'Origin: https://example.com' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

そして：

curl -H 'Origin: https://stats.g.doubleclick.net' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

どちらも 2 つのヘッダーを返す必要がありますaccess-control。テストされていません。

関連情報