☰

Nginx – Cross-Origin-Anfrage blockiert

tag-icon • tag-icon nginx cors
Nginx – Cross-Origin-Anfrage blockiert

Wir erhalten diesen Fehler:

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://stats.g.doubleclick.net

In unserer Nginx-Konfiguration haben wir:

add_header X-Frame-Options SAMEORIGIN always;
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options nosniff always;
add_header Content-Security-Policy "default-src 'self' https: data: 'unsafe-inline' 'unsafe-eval';" always;
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";

Ich bin mir bei der Direktive und ihrer Syntax nicht sicher, wie nur doubleclick.netunsere eigene Domäne zugelassen werden soll.

Antwort1

Innerhalb eines location( proxy_passzum Beispiel mit einer Direktive) können Sie die richtigen Header dynamisch generieren:

        if ($http_origin ~ '^(?:https?://)?(?:[a-z0-9_.-]+\.)?(?:doubleclick\.net|example\.com)$')
        {
            more_set_headers 'Access-Control-Allow-Origin: $http_origin';
            more_set_headers 'Access-Control-Allow-Methods: GET, OPTIONS, POST';
        }

Bitte fragen Sie, wenn Sie den Regex-Kram nicht verstehen.

Sie können more_set_headerses durch ersetzen, wenn Sie beispielsweise add_headerkein Ubuntu haben . Beachten Sie die leicht unterschiedliche Syntax.nginx-extras

Diese Lösung ist für diesen Zweck sicher genug. Soweit ich weiß, ist es nicht so einfach, den Origin-Header in einem Standardbrowser zu fälschen. Mit curlkönnen Sie es (testen):

curl -H 'Origin: https://example.com' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

Und:

curl -H 'Origin: https://stats.g.doubleclick.net' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

Beide sollten zwei access-controlHeader zurückgeben. Ungetestet.

verwandte Informationen