Nginx配置origin限制跨域请求的详细过程
更新时间：2023年06月27日 09:06:59 作者：我和你并没有不同
这篇文章主要介绍了Nginx配置origin限制跨域请求的相关知识，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
按照等保要求，跨域的不安全性，需要修复。
这个需要根据客户端传递的请求头中的Origin值，进行安全的跨站策略配置，目的是对非法的origin直接返回403错误页面。
漏洞复现
复现方式为在 Header 中指定 Origin 请求头，看是否可以请求成功。
能够请求成功，说明未对请求头进行控制，有漏洞。
curl-H'Origin:http://test.com'http://192.168.15.32:80
修复办法
在http中定义一个通过map指令，定义跨域规则并返回是否合法
http {
...
// 再白名单里边返回0，不在返回1
map $http_origin $allow_cors {
default 1;
"~^https?://.*?\.tripwolf\.com.*$" 1;
"~^(https?://(dmp.finerice.cn)?)$" 1;
"~*" 0;
}
server {
# 指定允许其他域名访问
add_header Access-Control-Allow-Origin $http_origin;
# 允许的请求类型
add_header Access-Control-Allow-Methods GET,POST,OPTIONS;
# 许的请求头字段
add_header Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept";
location / {
# 进行请求拦截
if ($allow_cors = 0){
return 403;
}
root /mnt/data;
}
}
}验证方法
通过POSTMAN进行请求模拟，配置不同的Origin，查看返回结果。
如果不需要跨域，则直接清理掉add_headerAccess-Control-Allow-Origin等相关配置，就不这么复杂了。
到此这篇关于Nginx配置origin限制跨域请求的文章就介绍到这了,更多相关Nginx限制跨域请求内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！
相关文章
在开发中,我们常常会遇到需要根据用户设备的不同,返回对应样式的页面,本文主要介绍了Nginx配置网站适配PC和手机的几种方法,具有一定的参考价值,感兴趣的可以了解一下2024-08-08
这篇文章主要介绍了Nginx接收Http协议请求转发使用Https协议,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下2023-06-06
最近一台服务器要配置多个前端项目，个人总结了3种方法来实现在一台服务器上使用nginx部署多个前端项目的方法。需要的朋友们下面随着小编来一起学习学习吧2021-05-05
这篇文章主要介绍了Nginx中的location路径映射问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-08-08
这篇文章主要介绍了Nginx对某个目录设置密码保护例子,使用htpasswd 生成用户名和密码,并解决了打开PHP文件变成文件下载的问题,需要的朋友可以参考下2014-06-06
这篇文章给大家介绍了nginx在编译安装过程中容易出现的常见错误以及解决方法,文中有详细的代码讲解,对我们的学习或工作有一定的帮助,需要的朋友可以参考下2023-08-08
Windows下用Nginx配置https服务器及反向代理的问题
这篇文章主要介绍了Windows下用Nginx配置https服务器及反向代理的问题,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下2021-09-09
uWSGI 是在像 nginx 、 lighttpd 以及 cherokee 服务器上的一个部署的选择，本篇文章主要介绍了关于nginx+uWsgi配置遇到的问题的解决，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2018-03-03
这篇文章主要介绍了nginx上传文件大小报错解决办法的相关资料,小文件可以提交，大文件会报500内部错误，这里提供解决办法，需要的朋友可以参考下2017-08-08
在windows+iis下，可以设置上传目录，类似:upload,uploadfile,attachments，这样的目录下面无脚本执行权限，从而防止非法用户上传脚本得到webshell2010-11-11
最新评论