ApsaraVideo VOD:Configurar o compartilhamento de recursos de origem cruzada

O que é o compartilhamento de recursos de origem cruzada?

O compartilhamento de recursos de origem cruzada (CORS) é um mecanismo padrão que permite a uma página da web acessar recursos de uma origem diferente (domínio, protocolo ou porta) da sua própria. Ele oferece uma maneira segura de habilitar transferências de dados entre origens distintas. Para obter mais informações, consulte Cross-Origin Resource Sharing (CORS).

Por que configurar o compartilhamento de recursos de origem cruzada?

Devido a restrições de segurança, os navegadores geralmente seguem a política de mesma origem, que limita o carregamento e o acesso a recursos de domínios, subdomínios, protocolos ou portas diferentes. Por exemplo, example.com não pode acessar recursos em example.org. Ao configurar o CORS, você define os cabeçalhos de resposta relevantes no servidor CDNDCDN. Se uma solicitação incluir cabeçalhos que atendam às regras permitidas, o servidor retornará os cabeçalhos de resposta HTTP correspondentes, permitindo o carregamento e o acesso aos recursos de origem cruzada.

Como funciona

CORS configurado no servidor de origem

Com CORS configurado na CDN

Ativar o compartilhamento de recursos de origem cruzada

1. Faça login no ApsaraVideo VOD console.

2. No painel de navegação à esquerda, escolha Configuration Management > CDN Configuration > Domain Names.

3. Na página Domain Names, localize o nome de domínio que deseja gerenciar e clique em Configure.

4. No painel de navegação à esquerda do nome de domínio, clique em Cache.

5. Clique na aba Custom HTTP Response Header.

6. Clique em Add para configurar um cabeçalho de resposta HTTP personalizado.

7. Defina os parâmetros das origens permitidas e clique em OK.

   Parâmetro	Exemplo
   Operation	Add
   Response Header	Access-Control-Allow-Origin
   Header Value	* Nota Defina o valor como um asterisco (*) para permitir solicitações de qualquer origem. Se o valor não for um asterisco (*), especifique um ou mais endereços IP, nomes de domínio ou uma combinação de ambos. Use vírgulas para separar vários valores. Quando o valor do cabeçalho não for *, ele deverá começar com http:// ou https://. O valor do cabeçalho pode incluir um número de porta. Nomes de domínio curinga são suportados.
   Allow Duplicates	No Nota Yes: Permite cabeçalhos duplicados. O POP da CDN mantém o cabeçalho do servidor de origem e adiciona um novo cabeçalho com o mesmo nome. No: Impede cabeçalhos duplicados. O POP da CDN substitui o cabeçalho do servidor de origem pelo novo cabeçalho. Este tópico utiliza um exemplo em que duplicatas não são permitidas. A configuração real pode variar dependendo do seu ambiente. Importante As configurações de Allow Duplicates e CORS são mutuamente exclusivas. Se Allow Duplicates estiver definido como Yes, a validação de CORS será desativada.
   CORS	Enable Nota Configure o CORS apenas quando a Operation estiver definida como Add e o Response Header for "Access-Control-Allow-Origin". O CORS pode ser definido como Disable ou Enable. O valor padrão é Disable. No estado Off, o nó da CDN não valida o cabeçalho Origin na solicitação do usuário e responde apenas com o valor configurado de "Access-Control-Allow-Origin". Quando Enabled, os nós da CDN executam a validação de origem cruzada nas solicitações do usuário conforme as regras abaixo e respondem com o valor "Access-Control-Allow-Origin" com base no resultado. Regras de validação de origem cruzada: Correspondência curinga: Quando o valor do Response Header Access-Control-Allow-Origin está definido como "", o cabeçalho Access-Control-Allow-Origin: é sempre retornado, independentemente de a solicitação do usuário incluir um parâmetro Origin ou qual seja o valor desse parâmetro. Correspondência exata: O Header Value está definido como uma ou mais origens específicas, separadas por vírgulas (,). Se o valor do cabeçalho "Origin" em uma solicitação corresponder exatamente a qualquer um dos valores configurados, a resposta incluirá o cabeçalho de origem cruzada correspondente. Caso não haja correspondência exata, o cabeçalho CORS não será incluído na resposta. Correspondência de nome de domínio curinga: Se o valor do cabeçalho de resposta personalizado "Access-Control-Allow-Origin" estiver definido como um nome de domínio curinga, o sistema verificará se o valor de Origin no cabeçalho da solicitação corresponde ao nome de domínio curinga. Quando enabled, se o nome de domínio no Header Value contiver um hífen -, escape o hífen antes de configurar o valor. Escape - como %-. Por exemplo: Valor original do cabeçalho: http://doc.aliyun-example.com. Valor do cabeçalho com escape: http://doc.aliyun%-example.com.

8. Defina os parâmetros dos métodos permitidos e clique em OK.

   Parâmetro	Exemplo
   Operation	Add
   Response Header	Access-Control-Allow-Methods
   Header Value	GET, POST, PUT Nota Use vírgulas para separar vários métodos.
   Allow Duplicates	No Nota Yes: Permite cabeçalhos duplicados. O POP da CDN mantém o cabeçalho do servidor de origem e adiciona um novo cabeçalho com o mesmo nome. No: Impede cabeçalhos duplicados. O POP da CDN substitui o cabeçalho do servidor de origem pelo novo cabeçalho. Este tópico usa um exemplo em que duplicatas não são permitidas. A implementação real pode variar dependendo do seu ambiente.

Exemplos de configuração

Exemplo 1

Cenário em que o valor do cabeçalho de resposta para compartilhamento de recursos de origem cruzada está definido como um único valor ou múltiplos valores (separados por vírgulas).

• Quando o valor do parâmetro "Origin" no cabeçalho da solicitação corresponder exatamente a qualquer um dos valores configurados, o servidor responderá com o cabeçalho de origem cruzada correspondente.

• Caso não haja correspondência exata, o cabeçalho CORS não será incluído na resposta.

No console do ApsaraVideo VOD, defina Access-Control-Allow-Origin como http://example.com,https://aliyundoc.com.

• O cabeçalho Origin da solicitação do usuário é http://example.com, e o ponto de presença (POP) da CDNDCDN responde com Access-Control-Allow-Origin: http://example.com.

• O cabeçalho Origin na solicitação do usuário é https://aliyundoc.com, e o nó da CDNDCDN responde com Access-Control-Allow-Origin: https://aliyundoc.com.

• O nó da CDNDCDN não responderá a uma solicitação de usuário com o cabeçalho Origin http://aliyundoc.com (devido a incompatibilidade de protocolo: a solicitação do usuário usa HTTP, enquanto a CDNDCDN está configurada para HTTPS).

• Se o cabeçalho Origin de uma solicitação for http://aliyun.com, o POP da CDNDCDN não responderá (incompatibilidade de domínio).

Exemplo 2

Quando o cabeçalho de resposta Access-Control-Allow-Origin está definido como um nome de domínio curinga, o valor de Origin no cabeçalho da solicitação é verificado para confirmar se corresponde ao nome de domínio curinga.

No console do ApsaraVideo VOD, defina Access-Control-Allow-Origin como http://*.aliyundoc.com.

• A solicitação do usuário contém o cabeçalho Origin http://demo.aliyundoc.com, e o POP da CDNDCDN responde com Access-Control-Allow-Origin: http://demo.aliyundoc.com.

• Se o cabeçalho Origin de uma solicitação for http://demo.example.com, o POP da CDNDCDN não responderá porque o nome de domínio não corresponde.

• O nó da CDNDCDN não responde a uma solicitação de usuário com o cabeçalho Origin https://demo.aliyundoc.com porque a solicitação usa o protocolo HTTPS, mas a CDNDCDN está configurada com o protocolo HTTP.