头盔"crossOriginEmbedderPolicy“为特定域启用/禁用

Question

头盔：^5.1.1

将NextJS与NodeJS结合使用。

设置头盔的crossOriginEmbedderPolicy为假工作加载iframe。

​

app.use(
  helmet({
    crossOriginEmbedderPolicy: false,
  })
);

​

但是像下面这样的事情可以做吗？

​

app.use(
  helmet({
    crossOriginEmbedderPolicy: {
      //disable for specific site
    }
  })
);

​

下列解决方案对我无效：

1. Setting Cross-origin-Embedder-Policy and Cross-origin-Opener-Policy headers in nodejs
2. Cross-Origin-Embedder-Policy: how to allow only certain domains?
3. https://github.com/helmetjs/helmet/issues/198

Answer 1

我不知道您的软件架构是什么，但是如果您承载了许多域，您可以在应用程序中引入一个配置文件，如下所示：

config.json：

{
  "domain1": {
      crossOrigin: true
  },
  "domain2": {
      crossOrigin: false
  },
  "domain3" : {
     crossOrigin: true
  }
}

然后在加载配置的代码中：

const config  = JSON.parse( fs.readFileSync( __dirname + /config.json', 'utf8' ));

最后，设置值：

const crossOrigin = config[request.headers.host].crossOrigin;
app.use(
  helmet({
    crossOriginEmbedderPolicy: crossOrigin
  })
);