Nginx配置origin限制跨域请求

Nginx需要修复一个安全漏洞

 

 这个需要根据客户端传递的请求头中的Origin值,进行安全的跨站策略配置,目的是对非法的origin直接返回403错误页面,配置如下:

1、在http中定义一个通过map指令,定义跨域规则并返回是否合法

map $http_origin $allow_cros {
    "~^(https?://(dmp.xxxxxx.cn)?)$" 1;
    "~*" 0;
}

上述规则中,如果orgin的值为https://dmp.xxxxxx.cn,我们认为是合法的请求,返回数值1,如果是其它值,返回数值0

2、在server中根据$allow_cros的值进行请求拦截

if ($allow_cros = 0){
     return 403;
}

3、在server中添加头部

#指定允许其他域名访问        
add_header Access-Control-Allow-Origin $http_origin;
#允许的请求类型
add_header Access-Control-Allow-Methods GET,POST,OPTIONS;
#许的请求头字段
add_header Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept";

 

验证

 

指定合法 origin时,请求正常

 ------------------------------------------------------------------------------------------------------

不指定 origin时,请求正常

 ------------------------------------------------------------------------------------------------------

 

 指定非法origin时,请求返回403

 

posted @   Justtosee  阅读(1814)  评论(0编辑  收藏  举报
努力加载评论中...
点击右上角即可分享
微信分享提示