指定具有访问控制源的多个子域

Question

我试图允许访问我的网站上的每个子域，以便允许跨子域AJAX调用。有没有办法指定像*.example.com这样的站点的所有子域，或者，当我列出多个域时，为什么以下内容不起作用：

header('Access-Control-Allow-Origin: http://api.example.com http://www.example.com');

我已经通读了下面的问题，除了我想访问子域的事实之外，似乎与这个问题类似，如果不是相同的话，这个问题指的是一般的域。

Access-Control-Allow-Origin Multiple Origin Domains?

如果上面的问题是这个问题的解决方案，那么我如何能够从头中检索原点。看起来$_SERVER‘’HTTP_ORIGIN‘非常不可靠，甚至不能跨浏览器。我需要能够在任何浏览器中看到来源，当尝试使用javascript发送AJAX调用时可能会显示错误。

Answer 1

此问题的解决方案是使用$_SERVER['HTTP_ORIGIN']变量来确定请求是否来自允许的域，然后有条件地设置Access-Control-Allow-Origin，如下所示：

$allowed_domains = [/* Array of allowed domains*/];

if (in_array($_SERVER['HTTP_ORIGIN'], $allowed_domains)) {
    header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']);
}

Answer 2

这就是我是如何做到的。

Origin标头由浏览器指定，并将包含请求其他域上的脚本的域：

Origin: http://www.websiteA.com

因此，您可以在服务器端脚本中将多个域列入“白名单”：

$allowedOrigins = [
    "http://www.websiteA.com",
    "https://www.websiteB.com"
    // ... etc
];

然后，您可以做的是检查$_SERVER["HTTP_ORIGIN"]全局是否包含该白名单中的域：

if (in_array($_SERVER["HTTP_ORIGIN"], $allowedOrigins)) {

并将Access-Control-Allow-Origin响应标头设置为任何Origin标头值：

header("Access-Control-Allow-Origin: " . $_SERVER["HTTP_ORIGIN"]);

完整脚本：

$allowedOrigins = [
    "http://www.websiteA.com",
    "https://www.websiteB.com"
    // ... etc
];

if (in_array($_SERVER["HTTP_ORIGIN"], $allowedOrigins)) {
    header("Access-Control-Allow-Origin: " . $_SERVER["HTTP_ORIGIN"]);
}

Answer 3

虽然答案是有效的，但它确实违背了整个事情的目的，因为它允许来自任何主机的请求。

我使用类似这样的东西：

if(isset($_SERVER['HTTP_ORIGIN'])) {
  $origin = $_SERVER['HTTP_ORIGIN'];
  if($origin == 'https://sub1.my-website.com' OR $origin == 'https://sub2.my-website.com') {
    header("Access-Control-Allow-Origin: $origin");
  }
}