都会|动词_Nginx一招解决跨域问题。。。

篇首语：本文由编程笔记#小编为大家整理，主要介绍了Nginx 一招解决跨域问题。。。相关的知识，希望对你有一定的参考价值。

来源&＃xff1a;酒香逢
地址&＃xff1a;https://www.cnblogs.com/fnz0/p/15803011.html

当你遇到跨域问题&＃xff0c;不要立刻就选择复制去尝试&＃xff0c;请详细看完这篇文章再处理&＃xff0c;我相信它能帮到你。

分析前准备&＃xff1a;

前端网站地址&＃xff1a;http://localhost:8080

服务端网址&＃xff1a;http://localhost:59200

首先保证服务端是没有处理跨域的&＃xff0c;其次&＃xff0c;先用postman测试服务端接口是正常的

当网站8080去访问服务端接口时&＃xff0c;就产生了跨域问题&＃xff0c;那么如何解决&＃xff1f;接下来我把跨域遇到的各种情况都列举出来并通过nginx代理的方式解决&＃xff08;后台也是一样的&＃xff0c;只要你理解的原理&＃xff09;。

跨域主要涉及4个响应头&＃xff1a;

• Access-Control-Allow-Origin 用于设置允许跨域请求源地址 &＃xff08;预检请求和正式请求在跨域时候都会验证&＃xff09;
• Access-Control-Allow-Headers 跨域允许携带的特殊头信息字段 &＃xff08;只在预检请求验证&＃xff09;
• Access-Control-Allow-Methods 跨域允许的请求方法或者说HTTP动词 &＃xff08;只在预检请求验证&＃xff09;
• Access-Control-Allow-Credentials 是否允许跨域使用COOKIEs&＃xff0c;如果要跨域使用COOKIEs&＃xff0c;可以添加上此请求响应头&＃xff0c;值设为true&＃xff08;设置或者不设置&＃xff0c;都不会影响请求发送&＃xff0c;只会影响在跨域时候是否要携带COOKIEs&＃xff0c;但是如果设置&＃xff0c;预检请求和正式请求都需要设置&＃xff09;。不过不建议跨域使用&＃xff08;项目中用到过&＃xff0c;不过不稳定&＃xff0c;有些浏览器带不过去&＃xff09;&＃xff0c;除非必要&＃xff0c;因为有很多方案可以代替。

网上很多文章都是告诉你直接Nginx添加这几个响应头信息就能解决跨域&＃xff0c;当然大部分情况是能解决&＃xff0c;但是我相信还是有很多情况&＃xff0c;明明配置上了&＃xff0c;也同样会报跨域问题。

什么是预检请求&＃xff1f;&＃xff1a;当发生跨域条件时候&＃xff0c;览器先询问服务器&＃xff0c;当前网页所在的域名是否在服务器的许可名单之中&＃xff0c;以及可以使用哪些HTTP动词和头信息字段。只有得到肯定答复&＃xff0c;浏览器才会发出正式的XMLHttpRequest请求&＃xff0c;否则就报错。如下图

开始动手模拟&＃xff1a;

Nginx代理端口&＃xff1a;22222 ,配置如下

server
listen 22222;
server_name localhost;
location /
proxy_pass http://localhost:59200;



测试代理是否成功&＃xff0c;通过Nginx代理端口2222再次访问接口&＃xff0c;可以看到如下图通过代理后接口也是能正常访问

接下来开始用网站8080访问Nginx代理后的接口地址&＃xff0c;报错情况如下↓↓↓

情况1&＃xff1a;

Access to XMLHttpRequest at &＃39;http://localhost:22222/api/Login/TestGet&＃39; from origin &＃39;http://localhost:8080&＃39; has been blocked by CORS policy: Response to preflight request doesn&＃39;t pass access control check: No &＃39;Access-Control-Allow-Origin&＃39; header is present on the requested resource.

通过错误信息可以很清晰的定位到错误&＃xff08;注意看标红部分&＃xff09;priflight说明是个预请求&＃xff0c;CORS 机制跨域会首先进行 preflight&＃xff08;一个 OPTIONS 请求&＃xff09;&＃xff0c; 该请求成功后才会发送真正的请求。这一设计旨在确保服务器对 CORS 标准知情&＃xff0c;以保护不支持 CORS 的旧服务器

通过错误信息&＃xff0c;我们可以得到是预检请求的请求响应头缺少了 Access-Control-Allow-Origin&＃xff0c;错哪里&＃xff0c;我们改哪里就好了。修改Nginx配置信息如下&＃xff08;红色部分为添加部分&＃xff09;&＃xff0c;缺什么就补什么&＃xff0c;很简单明了

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39;;
proxy_pass http://localhost:59200;



哈哈&＃xff0c;当满怀欢喜的以为能解决后&＃xff0c;发现还是报了同样的问题

不过我们的配置没什么问题,问题在Nginx,下图链接http://nginx.org/en/docs/http/ngx_http_headers_module.html

add_header 指令用于添加返回头字段&＃xff0c;当且仅当状态码为图中列出的那些时有效。如果想要每次响应信息都携带头字段信息&＃xff0c;需要在最后添加always&＃xff08;经我测试&＃xff0c;只有Access-Control-Allow-Origin这个头信息需要加always&＃xff0c;其他的不加always也会携带回来&＃xff09;&＃xff0c;那我们加上试试

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
proxy_pass http://localhost:59200;



修改了配置后&＃xff0c;发现生效了&＃xff0c;当然不是跨域就解决了&＃xff0c;是上面这个问题已经解决了&＃xff0c;因为报错内容已经变了

情况2&＃xff1a;

Access to XMLHttpRequest at &＃39;http://localhost:22222/api/Login/TestGet&＃39; from origin &＃39;http://localhost:8080&＃39; has been blocked by CORS policy: Response to preflight request doesn&＃39;t pass access control check: It does not have HTTP ok status.

通过报错信息提示可以得知&＃xff0c;是跨域浏览器默认行为的预请求&＃xff08;option请求&＃xff09;没有收到ok状态码&＃xff0c;此时再修改配置文件&＃xff0c;当请求为option请求时候&＃xff0c;给浏览器返回一个状态码&＃xff08;一般是204&＃xff09;

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
return 204;

proxy_pass http://localhost:59200;



当配置完后&＃xff0c;发现报错信息变了

情况3&＃xff1a;

Access to XMLHttpRequest at &＃39;http://localhost:22222/api/Login/TestGet&＃39; from origin &＃39;http://localhost:8080&＃39; has been blocked by CORS policy: Request header field authorization is not allowed by Access-Control-Allow-Headers in preflight response.

意思就是预请求响应头Access-Control-Allow-Headers中缺少头信息authorization&＃xff08;各种情况会不一样&＃xff0c;在发生跨域后&＃xff0c;在自定义添加的头信息是不允许的&＃xff0c;需要添加到请求响应头Access-Control-Allow-Headers中&＃xff0c;以便浏览器知道此头信息的携带是服务器承认合法的&＃xff0c;我这里携带的是authorization&＃xff0c;其他的可能是token之类的&＃xff0c;缺什么加什么&＃xff09;&＃xff0c;知道了问题所在&＃xff0c;然后修改配置文件&＃xff0c;添加对应缺少的部分&＃xff0c;再试试

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Headers &＃39;authorization&＃39;; #为什么写在if里面而不是接着Access-Control-Allow-Origin往下写&＃xff1f;因为这里只有预检请求才会检查
return 204;

proxy_pass http://localhost:59200;


此时发现报错问题又回到了情况1

经测试验证&＃xff0c;只要if ($request_method &＃61; &＃39;OPTIONS&＃39;) 里面写了 add_header &＃xff0c;当为预检请求时外部配置的都会失效&＃xff0c;为什么&＃xff1f;↓↓。

官方文档是这样说的&＃xff1a;

There could be several add_header directives. These directives are inherited from the previous level if and only if there are no add_header directives defined on the current level.

意思就是当前层级无 add_header 指令时&＃xff0c;则继承上一层级的add_header。相反的若当前层级有了add_header&＃xff0c;就应该无法继承上一层的add_header。

配置修改如下&＃xff1a;

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39;;
add_header Access-Control-Allow-Headers &＃39;authorization&＃39;;
return 204;

proxy_pass http://localhost:59200;



此时改完发现跨域问题已经解决了&＃xff0c;

不过以上虽然解决了跨域问题&＃xff0c;但是考虑后期可能Nginx版本更新,不知道这个规则会不会被修改&＃xff0c;考虑到这样的写法可能会携带上两个 Access-Control-Allow-Origin &＃xff0c;这种情况也是不允许的&＃xff0c;下面会说到。所以配置适当修改如下&＃xff1a;

server
listen 22222;
server_name localhost;
location /
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39;;
add_header Access-Control-Allow-Headers &＃39;authorization&＃39;;
return 204;

if ($request_method !&＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;

proxy_pass http://localhost:59200;



还没完&＃xff0c;继续聊 ↓↓

情况4&＃xff1a;

比较早期的API可能只用到了POST和GET请求&＃xff0c;而Access-Control-Allow-Methods这个请求响应头跨域默认只支持POST和GET&＃xff0c;当出现其他请求类型时候&＃xff0c;同样会出现跨域异常。

比如&＃xff0c;我这里将请求的API接口请求方式从原来的GET改成PUT&＃xff0c;在发起一次试试。在控制台上会抛出错误&＃xff1a;

Access to XMLHttpRequest at &＃39;http://localhost:22222/api/Login/TestGet&＃39; from origin &＃39;http://localhost:8080&＃39; has been blocked by CORS policy: Method PUT is not allowed by Access-Control-Allow-Methods in preflight response.

报错内容也讲的很清楚&＃xff0c;在这个预请求中&＃xff0c;PUT方法是不允许在跨域中使用的&＃xff0c;我们需要改下Access-Control-Allow-Methods的配置(缺什么加上么&＃xff0c;这里我只加了PUT&＃xff0c;可以自己加全一点)&＃xff0c;让浏览器知道服务端是允许的

server
listen 22222;
server_name localhost;
location /
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39;;
add_header Access-Control-Allow-Headers &＃39;content-type,authorization&＃39;;
add_header Access-Control-Allow-Methods &＃39;PUT&＃39;;#为这么只加在这个if中&＃xff0c;不再下面的if也加上&＃xff1f;因为这里只有预检请求会校验&＃xff0c;当然你加上也没事。
return 204;

if ($request_method !&＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;

proxy_pass http://localhost:59200;



这里注意一下&＃xff0c;改成PUT类型后&＃xff0c;Access-Control-Allow-Headers请求响应头又会自动校验content-type这个请求头&＃xff0c;和情况3是一样的&＃xff0c;缺啥补啥就行了。如果不加上content-type&＃xff0c;则会报如下错误。&＃xff08;想简单的话&＃xff0c;Access-Control-Allow-Headers和Access-Control-Allow-Methods可以设置为 * ,表示全都匹配。但是Access-Control-Allow-Origin就不建议设置成 * 了&＃xff0c;为了安全考虑&＃xff0c;限制域名是很有必要的。&＃xff09;

都加上后&＃xff0c;问题就解决了&＃xff0c;这里报405是我服务端这个接口只开放了GET&＃xff0c;没有开放PUT&＃xff0c;而此刻我将此接口用PUT方法去请求&＃xff0c;所以接口会返回这个状态码。

情况5&＃xff1a;

最后再说一种情况&＃xff0c;就是后端处理了跨域&＃xff0c;就不需要自己在处理了&＃xff08;这里吐槽下&＃xff0c;某些后端工程师自己改服务端代码解决跨域&＃xff0c;但是又不理解其中原理&＃xff0c;网上随便找段代码黏贴&＃xff0c;导致响应信息可能处理不完全&＃xff0c;如method没添加全&＃xff0c;headers没加到点上&＃xff0c;自己用的那个可能复制过来的并不包含实际项目所用到的&＃xff0c;没有添加options请求返回状态码等&＃xff0c;导致Nginx再用通用的配置就会可能报以下异常&＃xff09;

Access to XMLHttpRequest at &＃39;http://localhost:22222/api/Login/TestGet&＃39; from origin &＃39;http://localhost:8080&＃39; has been blocked by CORS policy: The &＃39;Access-Control-Allow-Origin&＃39; header contains multiple values &＃39;*, http://localhost:8080&＃39;, but only one is allowed.

意思就是此刻Access-Control-Allow-Origin请求响应头返回了多个&＃xff0c;而只允许有一个&＃xff0c;这种情况当然修改配置去掉Access-Control-Allow-Origin这个配置就可以了&＃xff0c;不过遇到这种情况&＃xff0c;建议Nginx配置和服务端自己解决跨域只选其一。&＃xff08;这里注意如果按我上面的写法&＃xff0c;if $request_method &＃61; &＃39;OPTIONS&＃39; 这个里面的Access-Control-Allow-Origin可不能删除&＃xff0c;删除!&＃61;&＃39;OPTIONS&＃39;里面的就好了&＃xff0c;因为这里如果是预检请求直接就ruturn了&＃xff0c;请求不会再转发到59200服务&＃xff0c;如果也删除了&＃xff0c;就会报和情况1一样的错误。所以为什么说要不服务端代码层面解决跨域&＃xff0c;要不就Nginx代理解决&＃xff0c;不要混着搞&＃xff0c;不然不明白原理的人&＃xff0c;网上找一段代码贴就很可能解决不了问题&＃xff09;

↓ ↓ ↓ ↓ ↓

再贴一份完整配置&＃xff08;*号根据自己‘喜好’填写&＃xff09;&＃xff1a;

server
listen 22222;
server_name localhost;
location /
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39;;
add_header Access-Control-Allow-Headers &＃39;*&＃39;;
add_header Access-Control-Allow-Methods &＃39;*&＃39;;
add_header Access-Control-Allow-Credentials &＃39;true&＃39;;
return 204;

if ($request_method !&＃61; &＃39;OPTIONS&＃39;)
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
add_header Access-Control-Allow-Credentials &＃39;true&＃39;;

proxy_pass http://localhost:59200;



或者&＃xff1a;

server
listen 22222;
server_name localhost;
location /
add_header Access-Control-Allow-Origin &＃39;http://localhost:8080&＃39; always;
add_header Access-Control-Allow-Headers &＃39;*&＃39;;
add_header Access-Control-Allow-Methods &＃39;*&＃39;;
add_header Access-Control-Allow-Credentials &＃39;true&＃39;;
if ($request_method &＃61; &＃39;OPTIONS&＃39;)
return 204;

proxy_pass http://localhost:59200;



最后&＃xff0c;这是一篇解决跨域遇到问题解决问题的过程&＃xff0c;如果认真看完了&＃xff0c;我相信应该都能很容易的理解&＃xff0c;并且在实际使用中自己解决该问题&＃xff0c;希望能帮助到大家&＃xff0c;以上内容都是自己理解自己测试码出来的&＃xff0c;如有理解不对的地方&＃xff0c;望大家指正。

近期热文推荐&＃xff1a;

1.1,000&＃43; 道 Java面试题及答案整理(2022最新版)

2.劲爆&＃xff01;Java 协程要来了。。。

3.Spring Boot 2.x 教程&＃xff0c;太全了&＃xff01;

4.别再写满屏的爆爆爆炸类了&＃xff0c;试试装饰器模式&＃xff0c;这才是优雅的方式&＃xff01;&＃xff01;

5.《Java开发手册&＃xff08;嵩山版&＃xff09;》最新发布&＃xff0c;速速下载&＃xff01;

觉得不错&＃xff0c;别忘了随手点赞&＃43;转发哦&＃xff01;