CORS（跨域资源共享）源验证失败解决方法

乐享技术

已于 2023-12-08 14:47:49 修改

阅读量1w

点赞数 4

分类专栏：经验谈文章标签：服务器前端运维

于 2023-02-17 09:43:14 首次发布

本文链接：https://blog.csdn.net/davidwkx/article/details/129078583

版权

经验谈专栏收录该内容

23 篇文章

订阅专栏

文章介绍了如何使用Nginx作为反向代理来解决Web系统中的CORS高危漏洞问题。具体方法是在nginx.conf文件中设置Access-Control-Allow-*相关头信息，特别强调了避免使用通配符*并给出了配置位置的建议。此外，文中提到配置应根据实际域名进行，并提供了配置文件包含的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在web系统中，安全软件扫描经常会发现CORS（跨域资源共享）作为高危漏洞出现。本文提供用Nginx作为反向代理的解决方案。解决方式是在nginx.conf文件中做如下配置：

  set $cors "";
 if ($http_origin ~* "^http?://.*\.xxxx\.com$") {
      set $cors $http_origin;
 }
 more_set_headers 'Access-Control-Allow-Origin: $cors';
 more_set_headers 'Access-Control-Allow-Credentials: true';
 more_set_headers 'Access-Control-Allow-Methods: GET,POST,OPTIONS';
 more_set_headers 'Access-Control-Allow-Headers: token,Authorization,DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type';
 more_set_headers 'Access-Control-Max-Age: 86400';

注意：

1、“xxxx.com"是示例域名，按你实际用到的更改。如果有多个外部域名，则逐一按if方式处理。不建议用”*“来代替所有。

2、配置位置1：在http中所有server之前，但可能不生效。不生效则用配置位置2方式。

3、配置位置2：放在server中的location部分之前。如果很多server，可单独放在一个文件中（如nginx.cors.item），在配置位置用下面语句引入：

#跨域配置
include /usr/local/nginx/conf/nginx.cors.item;

4、在location不要配置add_header，否则本处配置不生效。

这篇文章如果对您有所帮助或者启发的话，帮忙关注或点赞，有问题请评论，必有所复。您的支持是我写作的最大动力！