Object Storage Service:Configure cross-origin resource sharing (CORS)

Prácticas recomendadas de seguridad

Siga el principio de mínimo privilegio.

• Configure Origin (AllowedOrigin) con precisión: evite establecer * en Sources a menos que su bucket sea completamente público. Especifique dominios exactos, como https://www.example.com.

• Restrinja Allowed Methods: exponga únicamente los métodos HTTP que su aplicación necesite. Para sitios de solo lectura, configure solo GET y HEAD.

• Especifique Allowed Headers de forma explícita: para solicitudes autenticadas (con el encabezado Authorization), no utilice *. Enumere explícitamente todos los encabezados de solicitud obligatorios.

Prácticas recomendadas de rendimiento

• Optimice la caché de solicitudes preflight: un valor razonable de MaxAgeSeconds, como 86400 segundos (24 horas), reduce significativamente las solicitudes preflight, lo que disminuye la latencia y el costo.

• Evalúe el impacto de Vary: Origin: habilitar Vary: Origin resuelve problemas de envenenamiento de caché, pero aumenta la complejidad del almacenamiento en caché de CDN. Esto puede reducir la tasa de aciertos de la caché e incrementar el tráfico de retorno al origen (costo y latencia adicionales). Habilítelo solo después de evaluar sus patrones de tráfico.

Aceleración con CDN

Si su bucket se acelera mediante Alibaba Cloud CDN y se accede a él a través de un dominio de CDN, las solicitudes de origen cruzado llegarán primero a un punto de presencia (PoP) de CDN. Debe configurar las reglas de CORS en la consola de CDN, no en la consola de OSS. La configuración de CORS en OSS solo aplica a las solicitudes enviadas directamente al dominio de origen de OSS. Para obtener más detalles, consulte Configure cross-origin resource sharing.

Error: No 'Access-Control-Allow-Origin' header is present on the requested resource.

Este error suele indicar que el navegador almacenó en caché una respuesta antigua sin encabezados CORS, o que ninguna regla de CORS coincide con la solicitud entrante.

Borre la caché de su navegador y vuelva a probar. Si el error persiste, compruebe sus reglas de CORS:

1. Inicie sesión en la consola de OSS.

2. Haga clic en Buckets y luego haga clic en el nombre del bucket de destino.

3. En el panel de navegación izquierdo, elija Content Security > CORS.

4. En la página CORS, haga clic en Create Rule.

5. En el panel Create CORS Rule, establezca Origin en *, seleccione todos los Allowed Methods, establezca Allowed Headers en *, establezca Exposed Headers en ETag y x-oss-request-id, establezca Cache Timeout (Seconds) en 0, seleccione Vary: Origin y haga clic en OK.

6. Si el problema persiste, inicie sesión en cualquier servidor y ejecute el siguiente comando para consultar los encabezados de la solicitud de origen cruzado.

   curl -v -o output_file.txt -H 'Origin:[$URL2]' '[$URL1]'

   Nota

   • [URL1] es la URL del recurso de OSS solicitado.

   • [URL2] es la dirección de origen que configuró en la regla de CORS.

   El sistema muestra un resultado similar al siguiente.

   

   • Si la respuesta incluye un encabezado CORS coincidente, es probable que el problema se deba a la caché del navegador o de la red. Una solicitud anterior sin CORS pudo haberse almacenado localmente, y una solicitud de origen cruzado posterior recuperó esa respuesta en caché en lugar de obtener una nueva del servidor. Pruebe las siguientes soluciones:

     • Presione Ctrl+F5 en su navegador para borrar la caché y luego compruebe si el problema persiste.

     • Establezca Cached-Seconds en 0 en la regla de CORS. Esto obliga a que cada solicitud vuelva a obtener la autorización CORS del servidor.

       Nota

       Puede establecer el cache-control de un objeto en no-cache cuando lo cargue. Para los objetos que ya se cargaron, puede usar ossutil para cambiar esta configuración. Para obtener más información, consulte set-meta (Manage object metadata).

     • Utilice CDN para acelerar OSS y asegúrese de que todas las solicitudes servidas por CDN incluyan encabezados CORS.

   • Si la respuesta contiene dos encabezados CORS o un encabezado que no coincide con su configuración de OSS, es probable que el problema se deba al uso de CDN para acelerar OSS:

     1. Inicie sesión en la consola de CDN y deshabilite temporalmente la aceleración de CDN para el nombre de dominio con el fin de confirmar que el problema de origen cruzado se resolvió.

     2. Después de confirmarlo, haga clic en el nombre de dominio específico y luego vaya a Cache Configuration > Node HTTP Response Header.

     3. Establezca los encabezados de respuesta HTTP personalizados según sea necesario.

7. Si el problema de CORS aún no se resuelve, consulte Common errors and solutions for OSS CORS para continuar con la solución de problemas.

Error: The 'Access-Control-Allow-Origin' header has a value '...' that is not equal to the supplied origin.

El servidor devolvió un encabezado Access-Control-Allow-Origin, pero su valor no coincide con el Origin de la solicitud. A menudo se trata de un problema de caché: un navegador o CDN almacena la respuesta para un dominio y la sirve a otro.

Habilite la opción Vary: Origin en su regla de CORS para evitar conflictos de caché entre distintos sitios web, o borre la caché de su navegador antes de volver a intentarlo.

Error: Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

Este error ocurre porque el frontend envió una solicitud con credenciales (Access-Control-Allow-Credentials es True), pero Access-Control-Allow-Origin está establecido en *. Los navegadores prohíben esta combinación para evitar que cualquier sitio acceda a datos confidenciales, como cookies o tokens de Authorization.

• Si necesita credenciales, cambie Sources de * a un dominio específico (por ejemplo, https://example.com).

• Si no necesita credenciales, establezca xhr.withCredentials en false en su código de frontend y asegúrese de que Access-Control-Allow-Credentials sea false en el servidor.

¿Cómo mejorar la carga lenta de origen cruzado desde OSS?

La velocidad de carga de origen cruzado depende de la latencia de red entre el cliente y el bucket de OSS. Una solicitud de origen cruzado incluye un encabezado Origin. Para accesos de larga distancia (por ejemplo, de China (Hong Kong) a China continental), utilice un endpoint de Transfer Acceleration para optimizar la ruta de red.