Edge Security Acceleration:Configurar el uso compartido de recursos de origen cruzado

¿Qué es CORS?

El uso compartido de recursos de origen cruzado (CORS) es una solución estándar que proporciona HTML5. Permite que las páginas web accedan y carguen recursos desde distintos servidores de origen, lo cual garantiza la seguridad en la transmisión de datos. Para obtener más información, consulte Uso compartido de recursos de origen cruzado (CORS).

Beneficios

Por motivos de seguridad, los navegadores aplican la política del mismo origen. Esta restricción impide que las páginas web inicien solicitudes para acceder y cargar recursos desde otros dominios o subdominios, o bien mediante protocolos o puertos distintos. Por ejemplo, example.com no puede acceder a los recursos de example.org. Al configurar CORS, especifique los encabezados de respuesta en el servidor de CDN DCDN. Si una solicitud para acceder a recursos de CDN DCDN incluye encabezados que cumplen con las reglas permitidas, los recursos de origen cruzado se pueden cargar y utilizar.

Cómo funciona CORS

CORS deshabilitado

1. Un cliente envía una solicitud para http://example.com/index.html a example.com.

2. example.com devuelve el archivo index.html al cliente. La URL del archivo contiene la URL de un recurso de otro servidor de origen: http://example.org/image_01.png.

3. El cliente envía una solicitud para http://example.org/image_01.png a example.org.

4. example.org devuelve un encabezado de origen cruzado, como Access-Control-Allow-Origin: *.

5. El cliente recibe la respuesta y el navegador comprueba el valor del encabezado. El valor es un asterisco (*), lo que indica que se permiten las solicitudes de origen cruzado desde cualquier origen. Después, el navegador muestra la respuesta.

CORS habilitado

1. Un cliente envía una solicitud para http://example.com/index.html a CDN DCDN.

2. CDN DCDN devuelve el archivo index.html al cliente. La URL del archivo contiene la URL de un recurso de otro servidor de origen: http://example.org/image_01.png.

3. El cliente envía una solicitud para http://example.org/image_01.png a CDN DCDN. La solicitud incluye el encabezado Origin:http://example.com.

4. CDN DCDN recibe la solicitud y compara el valor del encabezado Origin de la solicitud con el valor configurado de Access-Control-Allow-Origin. Para Access-Control-Allow-Origin, especifique uno o varios valores, o bien un nombre de dominio comodín. Access-Control-Allow-Origin se devuelve al cliente únicamente si los valores de los encabezados coinciden.

5. CDN DCDN devuelve un encabezado de origen cruzado al cliente, como Access-Control-Allow-Origin:http://example.com.

6. El cliente recibe la respuesta y el navegador comprueba el valor del encabezado. El valor es http://example.com, lo que indica que se permiten las solicitudes de origen cruzado desde http://example.com. Después, el navegador muestra la respuesta.

Notas de uso

• Si el servidor de origen es un bucket de Object Storage Service (OSS) y CORS se configura tanto en la consola de OSS como en la de CDNDCDN, se aplica la configuración de la consola de CDNDCDN. Para obtener más información sobre la configuración de CORS en la consola de OSS, consulte CORS.

• Los encabezados de respuesta HTTP configurados en la consola de DCDN, como el encabezado CORS Access-Control-Allow-Origin, se aplican a todos los tipos de recursos, incluidas las solicitudes dinámicas de API.

Habilitar CORS

1. Inicie sesión en la consola de DCDN.

2. En el panel de navegación izquierdo, haga clic en Domain Names.

3. En la página Domain Names, busque el nombre de dominio deseado y haga clic en Configure.

4. En el árbol de navegación izquierdo del nombre de dominio, haga clic en Caching.

5. Haga clic en la pestaña Modify Outgoing Response Header y luego en Add para configurar el encabezado de respuesta HTTP que los nodos de DCDN agregan a las respuestas.

6. Establezca los siguientes parámetros para especificar los orígenes permitidos en las solicitudes de origen cruzado y haga clic en OK.

   

   Parámetro	Descripción	Ejemplo
   Operation	Establezca este parámetro en Add para usar la función de CORS.	Add
   Response Header	Establezca este parámetro en Access-Control-Allow-Origin para usar la función de CORS.	Access-Control-Allow-Origin
   Header Value	CORS deshabilitado: solo se permite configurar un comodín o un único origen específico. Comodín (*): se configura un comodín, lo que indica que se puede acceder a los recursos desde cualquier origen. Origen único específico: se especifica un solo origen (nombre de dominio), lo que indica que el acceso a los recursos se limita a ese origen. CORS habilitado: se permite configurar un comodín, un origen único, varios orígenes específicos y nombres de dominio comodín. Comodín (*): se configura un comodín, lo que indica que se puede acceder a los recursos desde cualquier origen. Origen único específico: se especifica un solo origen (nombre de dominio), lo que indica que el acceso a los recursos se limita a ese origen. Varios orígenes específicos: se especifican varios orígenes (nombres de dominio) separados por comas (,), lo que indica que se puede acceder a los recursos desde los orígenes dentro del rango indicado. Nombres de dominio comodín: se configura un nombre de dominio comodín, lo que indica que se puede acceder a los recursos desde todos los orígenes que coincidan con dicho patrón.	* http://www.aliyun.com https://aliyun.com,http://www.aliyun.com http://*.aliyun.com
   Allow Duplicates	Sí: se permiten encabezados duplicados. Se devuelven al cliente tanto el encabezado proveniente del servidor de origen como el que se agregó a la respuesta. No: no se permiten encabezados duplicados. El encabezado que se agregó a la respuesta sobrescribe al que proviene del servidor de origen. Importante Las configuraciones de Allow Duplicates y CORS son mutuamente excluyentes. Si establece Allow Duplicates en Yes, la configuración de CORS deja de ser válida.	No
   CORS	El parámetro CORS solo se configura cuando Operation se establece en Add y Response Header en Access-Control-Allow-Origin. Valores válidos de CORS: Disable y Enable. Valor predeterminado: Disable. Disable: los POP de DCDN no comprueban el encabezado Origin de las solicitudes de usuario. En este caso, los POP devuelven el valor configurado de Access-Control-Allow-Origin. Enable: los POP de DCDN comprueban el encabezado Origin de las solicitudes de usuario y asignan un valor al encabezado Access-Control-Allow-Origin según las siguientes reglas: Coincidencia con patrón comodín: si establece el encabezado Access-Control-Allow-Origin en un asterisco (), se devuelve Access-Control-Allow-Origin:. Esto ocurre sin importar si las solicitudes de usuario incluyen el encabezado Origin o cuál sea el valor especificado en dicho encabezado. Coincidencia exacta: especifique uno o varios valores para el encabezado Access-Control-Allow-Origin. Separe varios valores con comas (,): Si el valor del encabezado Origin de una solicitud de usuario coincide con un valor del encabezado Access-Control-Allow-Origin, se devuelve el valor coincidente de Access-Control-Allow-Origin. Si el valor del encabezado Origin de una solicitud de usuario no coincide con ningún valor del encabezado Access-Control-Allow-Origin , no se devuelve el encabezado Access-Control-Allow-Origin. Coincidencia con nombre de dominio comodín: si establece el encabezado Access-Control-Allow-Origin en un nombre de dominio comodín, el valor del encabezado Origin se compara con dicho patrón. Si establece el parámetro CORS en Enable y el valor que desea especificar para Header Value contiene un guion (-), escape el guion (-) como %-. Ejemplos: Valor original del encabezado de respuesta: http://doc.aliyun-example.com. Valor del encabezado de respuesta con escape: http://doc.aliyun%-example.com.	Enable

7. Configure los siguientes parámetros para especificar los métodos permitidos en las solicitudes de origen cruzado y haga clic en OK.

   

   Parámetro	Descripción	Ejemplo
   Operation	Establezca este parámetro en Add.	Add
   Response Header	Establezca este parámetro en Access-Control-Allow-Methods.	Access-Control-Allow-Methods
   Header Value	Valores válidos: GET, POST y PUT. Si agrega GET, POST y PUT al mismo tiempo, sepárelos con comas (,).	GET
   Allow Duplicates	Sí: se permiten encabezados duplicados. Se devuelven al cliente tanto el encabezado proveniente del servidor de origen como el que se agregó a la respuesta. No: no se permiten encabezados duplicados. El encabezado que se agregó a la respuesta sobrescribe al que proviene del servidor de origen.	No

Ejemplos de configuración