Sous-domaines, ports et protocoles génériques Access-Control-Allow-Origin

J'essaie d'activer CORS pour tous les sous-domaines, ports et protocoles.

Par exemple, je veux pouvoir exécuter une demande XHR de http://sub.mywebsite.com:8080/ à https://www.mywebsite.com/ *

En règle générale, j'aimerais activer la demande de correspondance d'origine (et limitée à):

//*.mywebsite.com:*/*

Sur la base de la réponse de DaveRandom , je jouais également et j'ai trouvé une solution Apache légèrement plus simple qui produit le même résultat ( Access-Control-Allow-Originest définie dynamiquement sur le protocole + domaine + port spécifique actuel) sans utiliser de règles de réécriture:

SetEnvIf Origin ^(https?://.+\.mywebsite\.com(?::\d{1,5})?)$   CORS_ALLOW_ORIGIN=$1
Header append Access-Control-Allow-Origin  %{CORS_ALLOW_ORIGIN}e   env=CORS_ALLOW_ORIGIN
Header merge  Vary "Origin"

Et c'est tout.

Ceux qui souhaitent activer CORS sur le domaine parent (par exemple mywebsite.com) en plus de tous ses sous-domaines peuvent simplement remplacer l'expression régulière de la première ligne par celle-ci:

^(https?://(?:.+\.)?mywebsite\.com(?::\d{1,5})?)$.

Remarque: pour la conformité aux spécifications et un comportement de mise en cache correct, TOUJOURS ajouter l'en- Vary: Origintête de réponse pour les ressources compatibles CORS, même pour les demandes non CORS et celles provenant d'une origine non autorisée (voir exemple pourquoi ).

La spécification CORS est tout ou rien. Il ne supporte que *, nullou le protocole exact + domaine + port: http://www.w3.org/TR/cors/#access-control-allow-origin-response-header

Votre serveur devra valider l'en-tête d'origine à l'aide de l'expression régulière, puis vous pourrez faire écho à la valeur d'origine dans l'en-tête de réponse Access-Control-Allow-Origin.

EDIT : Utilisez la solution de @ Noyo au lieu de celle-ci. C'est plus simple, plus clair et probablement beaucoup plus performant sous charge.

RÉPONSE ORIGINALE GAUCHE ICI À DES FINS HISTORIQUES UNIQUEMENT !!

J'ai joué un peu avec ce problème et j'ai trouvé cette solution réutilisable .htaccess (ou httpd.conf) qui fonctionne avec Apache:

<IfModule mod_rewrite.c>
<IfModule mod_headers.c>
    # Define the root domain that is allowed
    SetEnvIf Origin .+ ACCESS_CONTROL_ROOT=yourdomain.com

    # Check that the Origin: matches the defined root domain and capture it in
    # an environment var if it does
    RewriteEngine On
    RewriteCond %{ENV:ACCESS_CONTROL_ROOT} !=""
    RewriteCond %{ENV:ACCESS_CONTROL_ORIGIN} =""
    RewriteCond %{ENV:ACCESS_CONTROL_ROOT}&%{HTTP:Origin} ^([^&]+)&(https?://(?:.+?\.)?\1(?::\d{1,5})?)$
    RewriteRule .* - [E=ACCESS_CONTROL_ORIGIN:%2]

    # Set the response header to the captured value if there was a match
    Header set Access-Control-Allow-Origin %{ACCESS_CONTROL_ORIGIN}e env=ACCESS_CONTROL_ORIGIN
</IfModule>
</IfModule>

Définissez simplement la ACCESS_CONTROL_ROOTvariable en haut du bloc sur votre domaine racine et elle fera écho de la Origin:valeur d'en-tête de la demande au client dans la Access-Control-Allow-Origin:valeur d'en-tête de réponse si elle correspond à votre domaine.

Notez également que vous pouvez utiliser en sub.mydomain.comtant que ACCESS_CONTROL_ROOTet cela limitera les origines à sub.mydomain.comet *.sub.mydomain.com(c'est-à-dire qu'il ne doit pas nécessairement être la racine du domaine). Les éléments autorisés à varier (protocole, port) peuvent être contrôlés en modifiant la partie de correspondance URI de l'expression régulière.

Je réponds à cette question, car la réponse acceptée ne peut pas suivre

1. Le regroupement de regex est un succès de performance , ce qui n'est pas nécessaire.
2. ne peut pas correspondre au domaine principal et ne fonctionne que pour le sous-domaine.

Par exemple: il n'enverra pas d'en-têtes CORS pour http://mywebsite.com alors qu'il fonctionne pour http://somedomain.mywebsite.com/

SetEnvIf Origin "http(s)?://(.+\.)?mywebsite\.com(:\d{1,5})?$" CORS=$0

Header set Access-Control-Allow-Origin "%{CORS}e" env=CORS
Header merge  Vary "Origin"

Pour activer votre site, il vous suffit de mettre votre site à la place de "mywebsite.com" dans la configuration Apache ci-dessus.

Pour autoriser plusieurs sites:

SetEnvIf Origin "http(s)?://(.+\.)?(othersite\.com|mywebsite\.com)(:\d{1,5})?$" CORS=$0

Test après le déploiement:

La réponse curl suivante doit avoir l'en-tête "Access-Control-Allow-Origin" après la modification.

curl -X GET -H "Origin: http://examplesite1.com" --verbose http://examplesite2.com/query

J'avais besoin d'une solution PHP uniquement, donc juste au cas où quelqu'un en aurait également besoin. Il prend une chaîne d'entrée autorisée comme "* .example.com" et renvoie le nom du serveur d'en-tête de demande, si l'entrée correspond.

function getCORSHeaderOrigin($allowed, $input)
{
    if ($allowed == '*') {
        return '*';
    }

    $allowed = preg_quote($allowed, '/');

    if (($wildcardPos = strpos($allowed, '*')) !== false) {
        $allowed = str_replace('*', '(.*)', $allowed);
    }

    $regexp = '/^' . $allowed . '$/';

    if (!preg_match($regexp, $input, $matches)) {
        return 'none';
    }

    return $input;
}

Et voici les cas de test pour un fournisseur de données phpunit:

//    <description>                            <allowed>          <input>                   <expected>
array('Allow Subdomain',                       'www.example.com', 'www.example.com',        'www.example.com'),
array('Disallow wrong Subdomain',              'www.example.com', 'ws.example.com',         'none'),
array('Allow All',                             '*',               'ws.example.com',         '*'),
array('Allow Subdomain Wildcard',              '*.example.com',   'ws.example.com',         'ws.example.com'),
array('Disallow Wrong Subdomain no Wildcard',  '*.example.com',   'example.com',            'none'),
array('Allow Double Subdomain for Wildcard',   '*.example.com',   'a.b.example.com',        'a.b.example.com'),
array('Don\'t fall for incorrect position',    '*.example.com',   'a.example.com.evil.com', 'none'),
array('Allow Subdomain in the middle',         'a.*.example.com', 'a.bc.example.com',       'a.bc.example.com'),
array('Disallow wrong Subdomain',              'a.*.example.com', 'b.bc.example.com',       'none'),
array('Correctly handle dots in allowed',      'example.com',     'exampleXcom',            'none'),

Lors de la configuration Access-Control-Allow-Originen .htaccess, seuls les éléments suivants ont fonctionné:

SetEnvIf Origin "http(s)?://(.+\.)?domain\.com(:\d{1,5})?$" CRS=$0
Header always set Access-Control-Allow-Origin "%{CRS}e" env=CRS

J'ai essayé plusieurs autres mots - clés suggérés Header append, Header set, aucun travaillé comme suggéré dans de nombreuses réponses sur le SO, bien que je ne sais pas si ces mots - clés sont obsolètes ou non valables pour nginx .

Voici ma solution complète:

SetEnvIf Origin "http(s)?://(.+\.)?domain\.com(:\d{1,5})?$" CRS=$0
Header always set Access-Control-Allow-Origin "%{CRS}e" env=CRS
Header merge Vary "Origin"

Header always set Access-Control-Allow-Methods "GET, POST"
Header always set Access-Control-Allow-Headers: *

# Cached for a day
Header always set Access-Control-Max-Age: 86400

RewriteEngine On

# Respond with 200OK for OPTIONS
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

Nous avions des problèmes similaires avec Font Awesome sur un domaine statique "sans cookie" lors de la lecture des polices du "domaine des cookies" (www.domain.tld) ​​et ce message était notre héros. Voir ici: Comment puis-je résoudre le problème de police Web «En-tête de réponse CORS (Missing Cross-Origin Resource Sharing) manquant»?

Pour les types copier / coller-r (et pour donner quelques accessoires), j'ai reconstitué cela à partir de toutes les contributions et l'ai ajouté en haut du fichier .htaccess de la racine du site:

<IfModule mod_headers.c>
 <IfModule mod_rewrite.c>
    SetEnvIf Origin "http(s)?://(.+\.)?(othersite\.com|mywebsite\.com)(:\d{1,5})?$" CORS=$0
    Header set Access-Control-Allow-Origin "%{CORS}e" env=CORS
    Header merge  Vary "Origin"
 </IfModule>
</IfModule>

Super sécurisé, super élégant. J'adore: vous n'avez pas à ouvrir la bande passante de vos serveurs aux voleurs de ressources / types de liens directs.

Props à: @Noyo @DaveRandom @ pratap-koritala

(J'ai essayé de laisser cela comme un commentaire à la réponse acceptée, mais je ne peux pas encore le faire)

Pour Spring Boot, j'ai trouvé cela RegexCorsConfigurationqui étend l'officiel CorsConfiguration: https://github.com/looorent/spring-security-jwt/blob/master/src/main/java/be/looorent/security/jwt/RegexCorsConfiguration.java

Il semble que la réponse d'origine soit antérieure à Apache 2.4. Ça n'a pas marché pour moi. Voici ce que j'ai dû changer pour le faire fonctionner en 2.4. Cela fonctionnera pour n'importe quelle profondeur de sous-domaine de yourcompany.com .

SetEnvIf Host ^((?:.+\.)*yourcompany\.com?)$    CORS_ALLOW_ORIGIN=$1
Header append Access-Control-Allow-Origin  %{REQUEST_SCHEME}e://%{CORS_ALLOW_ORIGIN}e    env=CORS_ALLOW_ORIGIN
Header merge  Vary "Origin"

J'ai dû modifier un peu la réponse de Lars , car un orphelin \s'est retrouvé dans l'expression régulière, pour ne comparer que l'hôte réel (sans prêter attention au protocole ou au port) et je voulais prendre en charge un localhostdomaine en plus de mon domaine de production. J'ai donc changé le $allowedparamètre pour être un tableau.

function getCORSHeaderOrigin($allowed, $input)
{
    if ($allowed == '*') {
        return '*';
    }

    if (!is_array($allowed)) {
        $allowed = array($allowed);
    }

    foreach ($allowed as &$value) {
        $value = preg_quote($value, '/');

        if (($wildcardPos = strpos($value, '\*')) !== false) {
            $value = str_replace('\*', '(.*)', $value);
        }
    }

    $regexp = '/^(' . implode('|', $allowed) . ')$/';

    $inputHost = parse_url($input, PHP_URL_HOST);

    if ($inputHost === null || !preg_match($regexp, $inputHost, $matches)) {
        return 'none';
    }

    return $input;
}

Utilisation comme suit:

if (isset($_SERVER['HTTP_ORIGIN'])) {
    header("Access-Control-Allow-Origin: " . getCORSHeaderOrigin(array("*.myproduction.com", "localhost"), $_SERVER['HTTP_ORIGIN']));
}

dans mon cas en utilisant angulaire

dans mon intercepteur HTTP, je mets

with Credentials: true.

dans l'en-tête de la demande