Edge Security Acceleration:Configurar o compartilhamento de recursos de origem cruzada

O que é CORS?

O compartilhamento de recursos de origem cruzada (CORS) é uma solução padrão do HTML5 que permite às páginas da web acessar e carregar recursos de servidores de origem diferentes, garantindo a segurança na transmissão de dados. Para mais informações, consulte Cross-Origin Resource Sharing (CORS).

Benefícios

Por motivos de segurança, os navegadores utilizam a política de mesma origem. Essa política impede que páginas da web iniciem requisições para acessar e carregar recursos de domínios ou subdomínios diferentes, ou por meio de protocolos e portas distintos. Por exemplo, example.com não consegue acessar recursos em example.org. Ao configurar o CORS, especifique cabeçalhos de resposta no servidor CDN DCDN. Se uma requisição de acesso aos recursos do CDN DCDN contiver cabeçalhos compatíveis com as regras permitidas, será possível carregar e acessar os recursos de origem cruzada.

Como o CORS funciona

CORS desativado

1. Um cliente envia uma requisição para http://example.com/index.html ao servidor example.com.

2. O servidor example.com retorna o arquivo index.html ao cliente. A URL do arquivo contém a URL de um recurso de outro servidor de origem: http://example.org/image_01.png.

3. O cliente envia uma requisição para http://example.org/image_01.png ao servidor example.org.

4. O servidor example.org retorna um cabeçalho de origem cruzada, como Access-Control-Allow-Origin: *.

5. O cliente recebe a resposta e o navegador verifica o valor do cabeçalho. O valor é um asterisco (*), o que indica que requisições de origem cruzada de todas as origens são permitidas. Em seguida, o navegador exibe a resposta.

CORS ativado

1. Um cliente envia uma requisição para http://example.com/index.html ao CDN DCDN.

2. O CDN DCDN retorna o arquivo index.html ao cliente. A URL do arquivo contém a URL de um recurso de outro servidor de origem: http://example.org/image_01.png.

3. O cliente envia uma requisição para http://example.org/image_01.png ao CDN DCDN. A requisição inclui o cabeçalho Origin:http://example.com.

4. O CDN DCDN recebe a requisição e compara o valor do cabeçalho Origin da requisição com o valor configurado de Access-Control-Allow-Origin. Especifique um ou mais valores, ou um nome de domínio curinga para Access-Control-Allow-Origin. O cabeçalho Access-Control-Allow-Origin só é retornado ao cliente se os valores dos cabeçalhos mencionados coincidirem.

5. O CDN DCDN retorna um cabeçalho de origem cruzada, como Access-Control-Allow-Origin:http://example.com, ao cliente.

6. O cliente recebe a resposta e o navegador verifica o valor do cabeçalho. O valor é http://example.com, o que indica que requisições de origem cruzada de http://example.com são permitidas. Em seguida, o navegador exibe a resposta.

Observações de uso

• Se o servidor de origem for um bucket do Object Storage Service (OSS) e o CORS estiver configurado tanto nos consoles do OSS quanto do CDNDCDN, as configurações do console do CDNDCDN terão prioridade. Para mais informações sobre as configurações de CORS no console do OSS, consulte CORS.

• Os cabeçalhos de resposta HTTP configurados no console do DCDN, como o cabeçalho CORS Access-Control-Allow-Origin, aplicam-se a todos os tipos de recursos, incluindo requisições dinâmicas de API.

Ativar o CORS

1. Faça login no DCDN console.

2. No painel de navegação à esquerda, clique em Domain Names.

3. Na página Domain Names, localize o nome de domínio desejado e clique em Configure.

4. Na árvore de navegação à esquerda do nome de domínio, clique em Caching.

5. Clique na aba Modify Outgoing Response Header e, em seguida, clique em Add para configurar o cabeçalho de resposta HTTP que os nós do DCDN adicionam às respostas.

6. Defina os parâmetros abaixo para especificar as origens permitidas para requisições de origem cruzada e clique em OK.

   

   Parâmetro	Descrição	Exemplo
   Operation	Defina este parâmetro como Add para utilizar o recurso CORS.	Add
   Response Header	É obrigatório definir este parâmetro como Access-Control-Allow-Origin para habilitar o CORS.	Access-Control-Allow-Origin
   Header Value	CORS desativado: Configure apenas um curinga ou uma única origem específica. Curinga (*): Um curinga configurado indica que os recursos podem ser acessados de qualquer origem. Origem única especificada: Uma única origem (nome de domínio) definida restringe o acesso aos recursos apenas a essa origem. CORS ativado: Configure um curinga, uma única origem, múltiplas origens específicas ou nomes de domínio com curinga. Curinga (*): Permite o acesso aos recursos de todas as origens. Origem única especificada: Restringe o acesso aos recursos apenas à origem (nome de domínio) indicada. Múltiplas origens especificadas: Várias origens (nomes de domínio) separadas por vírgulas (,) permitem o acesso aos recursos dentro do intervalo definido. Nomes de domínio com curinga: Um nome de domínio com curinga autoriza o acesso aos recursos de todas as origens correspondentes ao padrão especificado.	* http://www.aliyun.com https://aliyun.com,http://www.aliyun.com http://*.aliyun.com
   Allow Duplicates	Yes: Cabeçalhos duplicados são permitidos. Tanto o cabeçalho retornado pelo servidor de origem quanto o cabeçalho adicionado à resposta são enviados ao cliente. No: Cabeçalhos duplicados não são permitidos. O cabeçalho retornado pelo servidor de origem é sobrescrito pelo cabeçalho adicionado à resposta. Importante As configurações de Allow Duplicates e CORS são mutuamente exclusivas. Se você definir Allow Duplicates como Yes, a configuração de CORS perderá o efeito.	No
   CORS	O parâmetro CORS só pode ser configurado se Operation estiver definido como Add e Response Header como Access-Control-Allow-Origin. Valores válidos para CORS: Disable e Enable. Valor padrão: Disable. Disable: Os POPs do DCDN não verificam o cabeçalho Origin nas requisições do usuário. Nesse caso, os POPs retornam o valor configurado de Access-Control-Allow-Origin. Enable: Os POPs do DCDN verificam o cabeçalho Origin nas requisições do usuário e definem um valor para o cabeçalho Access-Control-Allow-Origin seguindo estas regras: Correspondência por curinga: Se o cabeçalho Access-Control-Allow-Origin for definido como asterisco (), Access-Control-Allow-Origin: será retornado, independentemente de as requisições do usuário conterem o cabeçalho Origin ou do valor especificado nele. Correspondência exata: Especifique um ou mais valores para o cabeçalho Access-Control-Allow-Origin. Separe múltiplos valores com vírgulas (,): Se o valor do cabeçalho Origin na requisição do usuário corresponder a um valor do cabeçalho Access-Control-Allow-Origin, esse valor correspondente será retornado. Caso o valor do cabeçalho Origin na requisição do usuário não corresponda a nenhum valor do cabeçalho Access-Control-Allow-Origin , o cabeçalho Access-Control-Allow-Origin não será retornado. Correspondência por nome de domínio com curinga: Se o cabeçalho Access-Control-Allow-Origin for definido como um nome de domínio com curinga, o valor do cabeçalho Origin será comparado com esse padrão. Se você definir o parâmetro CORS como Enable e o valor desejado para Header Value contiver um hífen (-), escape o hífen (-) para %-. Exemplos: Valor original do cabeçalho de resposta: http://doc.aliyun-example.com. Valor do cabeçalho de resposta com escape: http://doc.aliyun%-example.com.	Enable

7. Configure os parâmetros a seguir para especificar os métodos permitidos para requisições de origem cruzada e clique em OK.

   

   Parâmetro	Descrição	Exemplo
   Operation	Defina este parâmetro como Add.	Add
   Response Header	Defina este parâmetro como Access-Control-Allow-Methods.	Access-Control-Allow-Methods
   Header Value	Valores válidos: GET, POST e PUT. Ao adicionar GET, POST e PUT simultaneamente, separe-os com vírgulas (,).	GET
   Allow Duplicates	Yes: Cabeçalhos duplicados são permitidos. O cabeçalho retornado pelo servidor de origem e o cabeçalho adicionado à resposta são ambos enviados ao cliente. No: Cabeçalhos duplicados não são permitidos. O cabeçalho retornado pelo servidor de origem é substituído pelo cabeçalho adicionado à resposta.	No

Exemplos de configuração