☰

Nginx — заблокированный запрос кросс-источника

tag-icon • tag-icon nginx cors
Nginx — заблокированный запрос кросс-источника

Мы получаем следующую ошибку:

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://stats.g.doubleclick.net

В нашей конфигурации nginx есть:

add_header X-Frame-Options SAMEORIGIN always;
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options nosniff always;
add_header Content-Security-Policy "default-src 'self' https: data: 'unsafe-inline' 'unsafe-eval';" always;
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";

Не уверен насчет директивы и ее синтаксиса, как разрешить только doubleclick.netнаш собственный домен.

решение1

Внутри location( proxy_passнапример, с помощью директивы) вы можете динамически генерировать правильные заголовки:

        if ($http_origin ~ '^(?:https?://)?(?:[a-z0-9_.-]+\.)?(?:doubleclick\.net|example\.com)$')
        {
            more_set_headers 'Access-Control-Allow-Origin: $http_origin';
            more_set_headers 'Access-Control-Allow-Methods: GET, OPTIONS, POST';
        }

Если вам что-то непонятно с регулярными выражениями, пожалуйста, спрашивайте.

Вы можете заменить more_set_headersна add_header, если у вас нет Ubuntu, nginx-extrasнапример. Обратите внимание на немного другой синтаксис.

Это решение достаточно безопасно для этой цели. Насколько мне известно, не так-то просто подделать заголовок origin в стандартном браузере. С помощью этого curlвы можете (протестировать):

curl -H 'Origin: https://example.com' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

И:

curl -H 'Origin: https://stats.g.doubleclick.net' -I -L 'https://example.com' 2>/dev/null | grep -i access-control

Оба должны возвращать два access-controlзаголовка. Не проверено.

Связанный контент