Object Storage Service:Konfigurasi Berbagi Sumber Daya Lintas Asal (CORS)

Praktik keamanan terbaik

Ikuti prinsip hak istimewa minimal.

• Konfigurasi Origin (AllowedOrigin) secara tepat: Hindari menyetel * untuk Sources kecuali bucket Anda sepenuhnya publik. Tentukan domain eksplisit, seperti https://www.example.com.

• Batasi Allowed Methods: Ekspos hanya metode HTTP yang dibutuhkan aplikasi Anda. Untuk situs read-only, konfigurasikan hanya GET dan HEAD.

• Tentukan Allowed Headers secara eksplisit: Untuk permintaan terautentikasi (dengan header Authorization), jangan gunakan *. Cantumkan semua header permintaan yang diperlukan secara eksplisit.

Praktik performa terbaik

• Optimalkan cache preflight: Nilai MaxAgeSeconds yang wajar, seperti 86400 detik (24 jam), secara signifikan mengurangi permintaan preflight, sehingga menurunkan latensi dan biaya.

• Evaluasi dampak Vary: Origin: Mengaktifkan Vary: Origin menyelesaikan masalah cache poisoning tetapi meningkatkan kompleksitas caching CDN. Hal ini dapat menurunkan rasio hit cache dan meningkatkan lalu lintas kembali ke asal (biaya dan latensi tambahan). Aktifkan hanya setelah mengevaluasi pola lalu lintas Anda.

Akselerasi CDN

Jika bucket Anda dipercepat oleh Alibaba Cloud CDN dan diakses melalui domain CDN, permintaan lintas asal akan pertama kali mencapai Point of Presence (PoP) CDN. Anda harus mengonfigurasi aturan CORS di konsol CDN, bukan di konsol OSS. Konfigurasi CORS di OSS hanya berlaku untuk permintaan yang langsung ditujukan ke domain origin OSS. Untuk detailnya, lihat Konfigurasi Berbagi Sumber Daya Lintas Asal (CORS).

Error: No 'Access-Control-Allow-Origin' header is present on the requested resource.

Error ini biasanya berarti browser telah menyimpan cache respons lama tanpa header CORS, atau tidak ada aturan CORS yang cocok dengan permintaan masuk.

Bersihkan cache browser Anda dan uji ulang. Jika error tetap muncul, verifikasi aturan CORS Anda:

1. Masuk ke OSS console.

2. Klik Buckets, lalu klik nama bucket tujuan.

3. Di panel navigasi kiri, pilih Content Security > CORS.

4. Di halaman CORS, klik Create Rule.

5. Di panel Create CORS Rule, atur Origin menjadi *, pilih semua Allowed Methods, atur Allowed Headers menjadi *, atur Exposed Headers menjadi ETag dan x-oss-request-id, atur Cache Timeout (Seconds) menjadi 0, pilih Vary: Origin, lalu klik OK.

6. Jika masalah tetap berlanjut, masuk ke server apa pun dan jalankan perintah berikut untuk melihat header permintaan lintas asal.

   curl -v -o output_file.txt -H 'Origin:[$URL2]' '[$URL1]'

   Catatan

   • [URL1] adalah URL sumber daya OSS yang diminta.

   • [URL2] adalah alamat origin yang Anda konfigurasikan dalam aturan CORS.

   Sistem menampilkan output yang mirip dengan berikut.

   

   • Jika respons menyertakan header CORS yang sesuai, kemungkinan besar masalahnya adalah cache browser atau jaringan. Permintaan non-CORS sebelumnya mungkin telah disimpan dalam cache lokal, dan permintaan lintas asal berikutnya mengambil respons cache ini alih-alih mendapatkan respons baru dari server. Coba solusi berikut:

     • Tekan Ctrl+F5 di browser Anda untuk membersihkan cache, lalu uji apakah masalah masih berlanjut.

     • Atur Cached-Seconds menjadi 0 dalam aturan CORS. Ini memaksa setiap permintaan untuk mengambil ulang otorisasi CORS dari server.

       Catatan

       Anda dapat mengatur cache-control objek menjadi no-cache saat mengunggahnya. Untuk objek yang sudah diunggah, Anda dapat menggunakan ossutil untuk mengubah pengaturan ini. Untuk informasi lebih lanjut, lihat set-meta (Kelola metadata objek).

     • Gunakan CDN untuk mempercepat OSS, memastikan semua permintaan yang dilayani CDN menyertakan header CORS.

   • Jika respons berisi dua header CORS atau header yang tidak sesuai dengan konfigurasi OSS Anda, kemungkinan besar masalah disebabkan oleh penggunaan CDN untuk mempercepat OSS:

     1. Masuk ke CDN console dan nonaktifkan sementara akselerasi CDN untuk nama domain guna memastikan masalah lintas asal terselesaikan.

     2. Setelah dikonfirmasi, klik nama domain tertentu, lalu buka Cache Configuration > Node HTTP Response Header.

     3. Atur header respons HTTP kustom sesuai kebutuhan.

7. Jika masalah CORS masih belum terselesaikan, lihat Error umum dan solusi untuk CORS OSS untuk troubleshooting lebih lanjut.

Error: The 'Access-Control-Allow-Origin' header has a value '...' that is not equal to the supplied origin.

Server mengembalikan header Access-Control-Allow-Origin, tetapi nilainya tidak sesuai dengan Origin permintaan. Hal ini sering kali merupakan masalah caching — browser atau CDN menyimpan cache respons untuk satu domain dan melayaninya ke domain lain.

Aktifkan opsi Vary: Origin dalam aturan CORS Anda untuk mencegah konflik cache antarwebsite berbeda, atau bersihkan cache browser Anda sebelum mencoba lagi.

Error: Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

Error ini terjadi karena antarmuka depan mengirim permintaan ber-kredensial (Access-Control-Allow-Credentials bernilai True), tetapi Access-Control-Allow-Origin diatur ke *. Browser melarang kombinasi ini untuk mencegah situs mana pun mengakses data sensitif seperti cookie atau token Authorization.

• Jika Anda memerlukan kredensial, ubah Sources dari * menjadi domain spesifik (misalnya, https://example.com).

• Jika Anda tidak memerlukan kredensial, atur xhr.withCredentials menjadi false dalam kode antarmuka depan Anda dan pastikan Access-Control-Allow-Credentials bernilai false di server.

Bagaimana cara meningkatkan kecepatan pemuatan lintas asal yang lambat dari OSS?

Kecepatan pemuatan lintas asal bergantung pada latensi jaringan antara klien dan bucket OSS. Permintaan lintas asal menyertakan header Origin. Untuk akses jarak jauh (misalnya, China (Hong Kong) ke daratan Tiongkok), gunakan titik akhir Transfer Acceleration untuk mengoptimalkan jalur jaringan.