Edge Security Acceleration:Configurar compartilhamento de recursos de origem cruzada

O que é CORS?

O compartilhamento de recursos de origem cruzada (CORS) é uma solução padrão fornecida pelo HTML5 que permite às páginas da web acessar e carregar recursos de servidores de origem diferentes, garantindo a segurança na transmissão de dados. Para mais informações, consulte Cross-Origin Resource Sharing (CORS).

Benefícios

Por motivos de segurança, os navegadores utilizam a política de mesma origem. Essa política impede que as páginas da web iniciem solicitações para acessar e carregar recursos de domínios ou subdomínios diferentes, ou por meio de protocolos ou portas distintos. Por exemplo, example.com não consegue acessar recursos em example.org. Ao configurar o CORS, especifique cabeçalhos de resposta no servidor CDN DCDN. Se uma solicitação de acesso aos recursos do CDN DCDN contiver cabeçalhos compatíveis com as regras permitidas, será possível carregar e acessar os recursos de origem cruzada.

Como o CORS funciona

CORS desativado

1. Um cliente envia uma solicitação para http://example.com/index.html a example.com.

2. example.com retorna o arquivo index.html ao cliente. A URL do arquivo contém a URL de um recurso de outro servidor de origem: http://example.org/image_01.png.

3. O cliente envia uma solicitação para http://example.org/image_01.png a example.org.

4. example.org retorna um cabeçalho de origem cruzada, como Access-Control-Allow-Origin: *.

5. O cliente recebe a resposta e o navegador verifica o valor do cabeçalho. O valor é um asterisco (*), indicando que solicitações de origem cruzada de todas as origens são permitidas. Em seguida, o navegador exibe a resposta.

CORS ativado

1. Um cliente envia uma solicitação para http://example.com/index.html ao CDN DCDN.

2. O CDN DCDN retorna o arquivo index.html ao cliente. A URL do arquivo contém a URL de um recurso de outro servidor de origem: http://example.org/image_01.png.

3. O cliente envia uma solicitação para http://example.org/image_01.png ao CDN DCDN. A solicitação inclui o cabeçalho Origin:http://example.com.

4. O CDN DCDN recebe a solicitação e compara o valor do cabeçalho Origin na solicitação com o valor configurado de Access-Control-Allow-Origin. É possível especificar um ou mais valores, ou um nome de domínio curinga para Access-Control-Allow-Origin. O cabeçalho Access-Control-Allow-Origin retorna ao cliente somente se os valores dos cabeçalhos mencionados acima coincidirem.

5. O CDN DCDN retorna um cabeçalho de origem cruzada, como Access-Control-Allow-Origin:http://example.com, ao cliente.

6. O cliente recebe a resposta e o navegador verifica o valor do cabeçalho. O valor é http://example.com, indicando que solicitações de origem cruzada de http://example.com são permitidas. Em seguida, o navegador exibe a resposta.

Observações de uso

• Se o servidor de origem for um bucket do Object Storage Service (OSS) e o CORS estiver configurado tanto nos consoles do OSS quanto do CDNDCDN, prevalecem as configurações de CORS no console do CDNDCDN. Para mais informações sobre as configurações de CORS no console do OSS, consulte CORS.

• Os cabeçalhos de resposta HTTP configurados no console do DCDN, como o cabeçalho CORS Access-Control-Allow-Origin, aplicam-se a todos os tipos de recursos, incluindo solicitações dinâmicas de API.

Ativar CORS

1. Faça login no DCDN console.

2. No painel de navegação à esquerda, clique em Domain Names.

3. Na página Domain Names, localize o nome de domínio desejado e clique em Configure.

4. Na árvore de navegação à esquerda do nome de domínio, clique em Caching.

5. Clique na aba Modify Outgoing Response Header e, em seguida, clique em Add para configurar o cabeçalho de resposta HTTP que os nós do DCDN adicionam às respostas.

6. Defina os parâmetros a seguir para especificar as origens permitidas para solicitações de origem cruzada e clique em OK.

   

   Parâmetro	Descrição	Exemplo
   Operation	Defina este parâmetro como Add para utilizar o recurso CORS.	Add
   Response Header	Defina este parâmetro como Access-Control-Allow-Origin para usar o recurso CORS.	Access-Control-Allow-Origin
   Header Value	CORS desativado: Configure apenas um curinga ou uma única origem específica. Curinga (*): Um curinga configurado indica que os recursos podem ser acessados de todas as origens. Origem única especificada: Uma única origem (nome de domínio) especificada indica que os recursos podem ser acessados apenas dessa origem. CORS ativado: Configure um curinga, uma única origem específica, múltiplas origens específicas ou nomes de domínio curinga. Curinga (*): Um curinga configurado indica que os recursos podem ser acessados de todas as origens. Origem única especificada: Uma única origem (nome de domínio) especificada indica que os recursos podem ser acessados apenas dessa origem. Múltiplas origens especificadas: Várias origens (nomes de domínio) separadas por vírgulas (,) indicam que os recursos podem ser acessados das origens dentro do intervalo especificado. Nomes de domínio curinga: Um nome de domínio curinga configurado indica que os recursos podem ser acessados de todas as origens correspondentes ao padrão especificado.	* http://www.aliyun.com https://aliyun.com,http://www.aliyun.com http://*.aliyun.com
   Allow Duplicates	Yes: Cabeçalhos duplicados são permitidos. Tanto o cabeçalho retornado pelo servidor de origem quanto o cabeçalho adicionado à resposta são enviados ao cliente. No: Cabeçalhos duplicados não são permitidos. O cabeçalho retornado pelo servidor de origem é sobrescrito pelo cabeçalho adicionado à resposta. Importante As configurações de Allow Duplicates e CORS são mutuamente exclusivas. Se você definir Allow Duplicates como Yes, a configuração de CORS torna-se inválida.	No
   CORS	O parâmetro CORS só pode ser configurado se Operation estiver definido como Add e Response Header como Access-Control-Allow-Origin. Valores válidos para CORS: Disable e Enable. Valor padrão: Disable. Disable: Os POPs do DCDN não verificam o cabeçalho Origin nas solicitações do usuário. Nesse caso, os POPs retornam o valor configurado de Access-Control-Allow-Origin. Enable: Os POPs do DCDN verificam o cabeçalho Origin nas solicitações do usuário e definem um valor para o cabeçalho Access-Control-Allow-Origin com base nas seguintes regras: Correspondência por padrão curinga: Se o cabeçalho Access-Control-Allow-Origin estiver definido como asterisco (), Access-Control-Allow-Origin: será retornado, independentemente de as solicitações do usuário conterem ou não o cabeçalho Origin ou qual valor estiver especificado nele. Correspondência exata: Especifique um ou mais valores para o cabeçalho Access-Control-Allow-Origin. Separe múltiplos valores com vírgulas (,): Se o valor do cabeçalho Origin na solicitação do usuário corresponder a um valor do cabeçalho Access-Control-Allow-Origin, esse valor correspondente será retornado. Caso o valor do cabeçalho Origin na solicitação do usuário não corresponda a nenhum valor do cabeçalho Access-Control-Allow-Origin , o cabeçalho Access-Control-Allow-Origin não será retornado. Correspondência por nome de domínio curinga: Se o cabeçalho Access-Control-Allow-Origin estiver definido como um nome de domínio curinga, o valor do cabeçalho Origin será comparado com esse padrão. Se o parâmetro CORS estiver definido como Enable e o valor a ser especificado no parâmetro Header Value contiver um hífen (-), escape o hífen (-) para %-. Exemplos: Valor original do cabeçalho de resposta: http://doc.aliyun-example.com. Valor do cabeçalho de resposta com escape: http://doc.aliyun%-example.com.	Enable

7. Configure os parâmetros a seguir para especificar os métodos permitidos para solicitações de origem cruzada e clique em OK.

   

   Parâmetro	Descrição	Exemplo
   Operation	Defina este parâmetro como Add.	Add
   Response Header	Defina este parâmetro como Access-Control-Allow-Methods.	Access-Control-Allow-Methods
   Header Value	Valores válidos: GET, POST e PUT. Ao adicionar GET, POST e PUT simultaneamente, separe-os com vírgulas (,).	GET
   Allow Duplicates	Yes: Cabeçalhos duplicados são permitidos. Tanto o cabeçalho retornado pelo servidor de origem quanto o cabeçalho adicionado à resposta são enviados ao cliente. No: Cabeçalhos duplicados não são permitidos. O cabeçalho retornado pelo servidor de origem é sobrescrito pelo cabeçalho adicionado à resposta.	No

Exemplos de configuração