Express CORS子域

Question

我有一个调用API -https://api.example.com-的站点--https://example.com。该应用程序接口是用Express编写的，它使用CORS package来允许来自站点的请求：

app.use(
    cors({
        credentials: true,
        origin: "https://example.com",
    })
);

该网站可通过https://example.com或https://www.example.com访问。如您所见，在API中，显式允许来自前一个地址的请求，但不允许来自后一个地址的请求。因此，如果任何人通过后一个地址访问它，对API的请求将被拒绝。

解决这个问题的通常方法是什么？是否显式允许https://example.com和https://www.example.com？或者，也许有一种方法可以忽略子域www

提前感谢！

--

编辑：

按照建议，我显式地将https://www.example.com添加到cors配置中

app.use(
    cors({
        credentials: true,
        origin: ["https://example.com", "https://www.example.com"],
    })
);

但这并不管用。作为一种变通方法，我刚才做的是在.htaccess文件-Apache服务器中使用重写条件重定向-从www域重定向到非www域。

但现在的问题是:为什么甚至允许www.example.com都不起作用？这有什么共同的原因吗？

Answer 1

通常的方法是避免两个不同来源的网站具有相同的内容。

将www.example.com配置为向example.com发出HTTP301重定向。

显式允许https://example.com和https://www.example.com？

这也是可行的。可以向origin传递一个数组。

或者也许有一种方法可以忽略www的子域？

也可以向origin传递正则表达式。

Answer 2

您需要同时允许这两个域。执行此操作的API有点复杂。基本上，您需要读取documentation of the CORS package

app.use(
    cors({
        credentials: true,
        origin: function (origin callback) {
            switch (origin) {
                case "https://example.com":
                case "https://www.example.com":
                    callback(null, true); // allow these domains
                    break;
                default:
                    callback(new Error('Now allowed')); // block others
            }
        },
    })
);

origin的值只能是一个字符串，也可以是您自己作为函数实现的自定义逻辑。