Object Storage Service:Configure cross-origin resource sharing (CORS)

Melhores práticas de segurança

Siga o princípio do menor privilégio.

• Configure Origin (AllowedOrigin) com precisão: Evite definir * para Sources, a menos que seu bucket seja totalmente público. Especifique domínios exatos, como https://www.example.com.

• Restrinja Allowed Methods: Exponha apenas os métodos HTTP necessários à sua aplicação. Para sites somente leitura, configure apenas GET e HEAD.

• Especifique Allowed Headers explicitamente: Para requisições autenticadas (com cabeçalho Authorization), não use *. Liste todos os cabeçalhos de requisição necessários explicitamente.

Melhores práticas de desempenho

• Otimize o cache de preflight: Um valor razoável para MaxAgeSeconds, como 86400 segundos (24 horas), reduz significativamente as requisições preflight, diminuindo a latência e o custo.

• Avalie o impacto de Vary: Origin: Ativar Vary: Origin resolve problemas de envenenamento de cache, mas aumenta a complexidade do cache do CDN. Isso pode reduzir a taxa de acerto do cache e aumentar o tráfego de retorno à origem (custo e latência adicionais). Ative essa opção somente após avaliar seus padrões de tráfego.

Aceleração via CDN

Se o seu bucket for acelerado pelo Alibaba Cloud CDN e acessado por meio de um domínio CDN, as requisições de origem cruzada chegarão primeiro a um Ponto de Presença (PoP) do CDN. Configure as regras de CORS no console do CDN, e não no console do OSS. A configuração de CORS no OSS aplica-se apenas a requisições feitas diretamente ao domínio de origem do OSS. Para obter detalhes, consulte Configurar compartilhamento de recursos de origem cruzada.

Erro: No 'Access-Control-Allow-Origin' header is present on the requested resource.

Esse erro geralmente significa que o navegador armazenou em cache uma resposta antiga sem cabeçalhos CORS ou que nenhuma regra de CORS corresponde à requisição recebida.

Limpe o cache do navegador e teste novamente. Se o erro persistir, verifique suas regras de CORS:

1. Faça login no OSS console.

2. Clique em Buckets e, em seguida, clique no nome do bucket de destino.

3. No painel de navegação à esquerda, escolha Content Security > CORS.

4. Na página CORS, clique em Create Rule.

5. No painel Create CORS Rule, defina Origin como *, selecione todos os Allowed Methods, defina Allowed Headers como *, defina Exposed Headers como ETag e x-oss-request-id, defina Cache Timeout (Seconds) como 0, selecione Vary: Origin e clique em OK.

6. Se o problema persistir, faça login em qualquer servidor e execute o comando a seguir para visualizar os cabeçalhos da requisição de origem cruzada.

   curl -v -o output_file.txt -H 'Origin:[$URL2]' '[$URL1]'

   Nota

   • [URL1] é a URL do recurso do OSS solicitado.

   • [URL2] é o endereço de origem configurado na regra de CORS.

   O sistema exibe uma saída semelhante à seguinte.

   

   • Se a resposta incluir um cabeçalho CORS correspondente, o problema provavelmente é cache do navegador ou da rede. Uma requisição anterior sem CORS pode ter sido armazenada em cache localmente, e uma requisição subsequente de origem cruzada buscou essa resposta em cache em vez de obter uma nova do servidor. Tente as seguintes soluções:

     • Pressione Ctrl+F5 no navegador para limpar o cache e teste se o problema persiste.

     • Defina Cached-Seconds como 0 na regra de CORS. Isso força cada requisição a buscar novamente a autorização CORS no servidor.

       Nota

       Você pode definir o cache-control de um objeto como no-cache ao fazer o upload dele. Para objetos já enviados, use o ossutil para alterar essa configuração. Para obter mais informações, consulte set-meta (Gerenciar metadados de objeto).

     • Use o CDN para acelerar o OSS, garantindo que todas as requisições servidas pelo CDN incluam cabeçalhos CORS.

   • Se a resposta contiver dois cabeçalhos CORS ou um cabeçalho que não corresponda à sua configuração do OSS, o problema provavelmente é causado pelo uso do CDN para acelerar o OSS:

     1. Faça login no CDN console e desative temporariamente a aceleração do CDN para o nome de domínio a fim de confirmar que o problema de origem cruzada foi resolvido.

     2. Após a confirmação, clique no nome de domínio específico e acesse Cache Configuration > Node HTTP Response Header.

     3. Defina cabeçalhos de resposta HTTP personalizados conforme necessário.

7. Se o problema de CORS ainda não for resolvido, consulte Erros comuns e soluções para CORS no OSS para obter mais instruções de solução de problemas.

Erro: The 'Access-Control-Allow-Origin' header has a value '...' that is not equal to the supplied origin.

O servidor retornou um cabeçalho Access-Control-Allow-Origin, mas seu valor não corresponde ao Origin da requisição. Isso geralmente é um problema de cache — um navegador ou CDN armazena a resposta para um domínio e a serve para outro.

Ative a opção Vary: Origin na sua regra de CORS para evitar conflitos de cache entre sites diferentes ou limpe o cache do navegador antes de tentar novamente.

Erro: Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

Esse erro ocorre porque o frontend enviou uma requisição com credenciais (Access-Control-Allow-Credentials é True), mas Access-Control-Allow-Origin está definido como *. Os navegadores proíbem essa combinação para evitar que qualquer site acesse dados confidenciais, como cookies ou tokens de Authorization.

• Se você precisar de credenciais, altere Sources de * para um domínio específico (por exemplo, https://example.com).

• Se não precisar de credenciais, defina xhr.withCredentials como false no código do frontend e garanta que Access-Control-Allow-Credentials seja false no servidor.

Como melhorar o carregamento lento de origem cruzada a partir do OSS?

A velocidade de carregamento de origem cruzada depende da latência da rede entre o cliente e o bucket do OSS. Uma requisição de origem cruzada inclui um cabeçalho Origin. Para acessos de longa distância (por exemplo, China (Hong Kong) para a China continental), use um endpoint de Transfer Acceleration para otimizar o caminho da rede.