Início / coding / Perguntas / 79588791
Accepted
Nancy Moore
Asked: 2025-04-23 21:59:16 +0800 CST

Como permitir corretamente múltiplas origens para uma solicitação de origem cruzada (CORS)?

  • 772

O phpcódigo abaixo permite que apenas a URL http://example1.comtenha acesso à aplicação. Como posso permitir acesso apenas às quatro URLs abaixo em PHP?

http://example1.com
http://example2.com
http://example3.com
http://example4.com

<?php
error_reporting(0);
header('Access-Control-Allow-Origin: http://example1.com');
header('Access-Control-Allow-Methods: POST');
header("Access-Control-Allow-Headers: Content-Type, Access-Control-Allow-Headers, Authorization, X-Requested-With");




$allowedOrigin = 'http://example1.com'; // Your expected origin

if ($_SERVER['HTTP_ORIGIN'] !== $allowedOrigin) {
    //echo "Access Denied.";
$return_arr = array("msg"=>"Access Denied");
echo json_encode($return_arr);
    exit();
}

$validReferer = 'http://example1.com/'; // Change to your actual domain!  Include trailing slash if the AJAX call comes from a subfolder
if (strpos($_SERVER['HTTP_REFERER'], $validReferer) !== 0) {
   // echo "Access Denied (Invalid Referer).";
$return_arr = array("msg"=>"Access Denied");
echo json_encode($return_arr);
    exit();
}

// begin insert records into database
?>

2 respostas

  1. Best Answer

    Antes de gerar o Access-Control-Allow-Origincabeçalho, verifique se o Origincabeçalho da solicitação é uma origem permitida. Isso é feito mais facilmente tendo um array de origens permitidas e usando in_array. Você também pode adotar abordagens mais complexas (por exemplo, usando uma expressão regular), mas tome cuidado para não ser mais permissivo do que o necessário.

    Se for, use esse valor na resposta.

    Se a solicitação for uma solicitação OPTIONS (pré-voo), não realize nenhum processamento adicional. Apenas responda que não há problema em enviar a solicitação propriamente dita.

    Uma abordagem básica para isso seria:

    <?php
$method = $_SERVER['REQUEST_METHOD'];
$origin = $_SERVER['HTTP_ORIGIN'];

$allowed_origins = ['http://example.com', 'http://example.net'];

if (!in_array($origin, $allowed_origins)) {
    # Stop here if the origin isn't in the allowed list
    # You might want to allow for the case where there is NO origin header
    # indicating that it is a *same origin* request. (Or a non-browser request).
    exit();
}

header('Access-Control-Allow-Origin: ' . $origin);
header('Access-Control-Allow-Methods: POST');
header("Access-Control-Allow-Headers: Content-Type, Access-Control-Allow-Headers, Authorization, X-Requested-With");

if ($method === "OPTIONS") {
    # Exit here so that any code that might try to read the request body
    # and insert into the database won't fail due to the body not being
    # present on the OPTIONS request.
    exit();
}

# Further processing here

    No entanto, existem muitas soluções pré-desenvolvidas que provavelmente são mais robustas do que esta, então você deve considerar uma delas. Principalmente se estiver usando qualquer tipo de framework.

    Ignore o cabeçalho Referer. Ele não é útil.

    Não vá direto para a inserção de dados em um banco de dados. O CORS só protege contra sites de terceiros que permitem que seus usuários acessem seu site (com quaisquer cookies e outros recursos que os usuários deles já tenham para o seu site). Ele não impede que as pessoas façam solicitações HTTP diretamente ao seu serviço web. Você está permitindo o cabeçalho de autorização, então verifique seu AuthN/AuthZ antes de inserir qualquer coisa em seu banco de dados.

    • 2

  2. Crie um array contendo todas as suas origens permitidas (você pode até mesmo manter isso em um banco de dados ou arquivo de configuração se precisar modificá-lo com frequência, para que seja mais configurável, e simplesmente carregue-o no seu array PHP conforme necessário). Em seguida, verifique se a origem de entrada corresponde a uma delas. Em caso afirmativo, adicione o Access-Control-Allow-Origincabeçalho correspondente. Caso contrário, não exiba esse cabeçalho.

    Você realmente não precisa da resposta "negada" como tal - se for de fato uma solicitação CORS, o navegador cuidará disso e emitirá um erro CORS para o código JS se o Access-Control-Allow-Origincabeçalho retornado não corresponder à origem ou se o cabeçalho estiver ausente.

    $allowedOrigins = [
  "https://example1.com",
  "https://example2.com",
  "https://example3.com",
  "https://example4.com"
];

if (in_array($_SERVER['HTTP_ORIGIN'], $allowedOrigins)) {
  header('Access-Control-Allow-Origin: '.$_SERVER['HTTP_ORIGIN']);
}
header('Access-Control-Allow-Methods: POST');
header("Access-Control-Allow-Headers: Content-Type, Access-Control-Allow-Headers, Authorization, X-Requested-With");

    Observação: não tenho certeza do que você está tentando alcançar verificando também o cabeçalho REFERER — é fácil de falsificar e não tem nada a ver com CORS. Duvido que ajude você com qualquer objetivo que tenha em mente.

    • 1

relate perguntas