☰

Nginx - 교차 출처 요청이 차단됨

tag-icon • tag-icon nginx cors
Nginx - 교차 출처 요청이 차단됨

다음 오류가 발생합니다.

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://stats.g.doubleclick.net

nginx 구성에는 다음이 있습니다.

add_header X-Frame-Options SAMEORIGIN always;
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options nosniff always;
add_header Content-Security-Policy "default-src 'self' https: data: 'unsafe-inline' 'unsafe-eval';" always;
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";

우리 자신의 도메인 만 허용하는 방법에 대한 지시어와 구문이 확실하지 않습니다 doubleclick.net.

답변1

location(예를 들어 지시문을 사용하여 ) 내부에서 proxy_pass올바른 헤더를 동적으로 생성할 수 있습니다.

        if ($http_origin ~ '^(?:https?://)?(?:[a-z0-9_.-]+\.)?(?:doubleclick\.net|example\.com)$')
        {
            more_set_headers 'Access-Control-Allow-Origin: $http_origin';
            more_set_headers 'Access-Control-Allow-Methods: GET, OPTIONS, POST';
        }

정규식 내용을 이해하지 못하는 경우 물어보십시오.

예를 들어 Ubuntu가 없으면 more_set_headers다음으로 바꿀 수 있습니다 . 약간 다른 구문에 유의하세요.add_headernginx-extras

이 솔루션은 해당 목적에 충분히 안전합니다. 내가 아는 한 표준 브라우저에서 원본 헤더를 위조하는 것은 그리 쉽지 않습니다. 당신 과 함께 curl(테스트해 보세요):

curl -H 'Origin: https://example.com' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

그리고:

curl -H 'Origin: https://stats.g.doubleclick.net' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

둘 다 두 개의 헤더를 반환해야 합니다 access-control. 테스트되지 않았습니다.

관련 정보