一篇文章让你搞懂如何通过Nginx来解决跨域问题

梦里梦外; 2022-10-22 10:55 225阅读 0赞

![a8a13dde904cdc5a3d7da600ddb1d8fa.png][]

##  ##

Nginx跨域实现

首先大家要搞清楚什么是跨域，为什么会有跨域情况的出现。哪些情况属于跨域？

> `跨域`：由于浏览器的同源策略，即属于不同域的页面之间不能相互访问各自的页面内容 `注`：同源策略，单说来就是同协议，同域名，同端口

> URL 说明 是否允许通信 http://www.a.com/a.js http://www.a.com/b.js 同一域名下 允许 http://www.a.com/lab/a.js http://www.a.com/script/b.js 同一域名下不同文件夹 允许 http://www.a.com:8000/a.js http://www.a.com/b.js 同一域名，不同端口 不允许 http://www.a.com/a.js https://www.a.com/b.js 同一域名，不同协议 不允许 http://www.a.com/a.js http://70.32.92.74/b.js 域名和域名对应ip 不允许 http://www.a.com/a.js http://script.a.com/b.js 主域相同，子域不同 不允许 http://www.a.com/a.js http://a.com/b.js 同一域名，不同二级域名（同上） 不允许（cookie这种情况下也不允许访问） http://www.cnblogs.com/a.js http://www.a.com/b.js 不同域名 不允许

##  ##

跨域场景

出于安全考虑（比如csrf攻击），浏览器一般会禁止进行跨域访问，但是因为有时有相应需求，需要允许跨域访问，这时，我们就需要将跨域访问限制打开。  启动一个web服务，端口是8081 ![23ba20e391bcfb29514a0260d4fd6e8a.png][]  然后再开启一个web服务/前端服务都可以。端口是8082，然后再8082的服务中通过ajax来访问8081的服务，这就不满足同源策略，就会出现跨域问题

<%@ page language="java" contentType="text/html; charset=utf-8" pageEncoding="utf-8"%>
    <html>
    <head>
        <meta http-equiv="content-type" content="text/html; charset=utf-8">
    </head>
    <body>
    <h2>Hello World!</h2>
    <script type="text/javascript">
        function fun1(){
            var request = new XMLHttpRequest();
            request.open("GET","http://localhost:8081/user/query")
            request.send();
            request.onreadystatechange = function(){
                if(request.status==200 && request.readyState == 4){
                    console.log("响应的结果" + request.responseText)
                }
            }
        }
    </script>
    </body>
        <input type="button" value="跨域调用" onclick="fun1()">
    </html>

![db17e8de5f2c3d14a20467a8a51f7588.png][]

##     ##

##  ##

跨域问题的解决方案

解决跨域问题的方式也有多种。

##  ##

1、前后端结合（JsonP）

虽然jsonp也可以实现跨域，但是因为jsonp不支持post请求，应用场景受到很大限制，所以这里不对jsonp作介绍。

##  ##

2、纯后端方式一（CORS方式）

CORS 是w3c标准的方式，通过在web服务器端设置：响应头Access-Cntrol-Alow-Origin 来指定哪些域可以访问本域的数据，ie8&9(XDomainRequest)，10+,chrom4，firefox3.5,safair4，opera12支持这种方式。

服务器代理，同源策略只存在浏览器端，通过服务器转发请求可以达到跨域请求的目的，劣势：增加服务器的负担，且访问速度慢。

![6479c9009bee0a9486926cd16ae54ebc.png][]

##  ##

3.纯后端方式二（Nginx代理方式）【建议这种方式】

首先配置Nginx的反向代理方式 ![ab34da5276d5a58e462e1c0d7ef4c5db.png][]

代理访问正常 ![c4f5e4051e9a7650c538733a3bd26761.png][]

8082的服务访问Nginx，出现了跨域问题

![ce50a90d08bd1f313644bfb4c895e626.png][]

`Nginx配置跨域解决`

location / {  
        add_header Access-Control-Allow-Origin *;
        add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS';
        add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
    
    
        if ($request_method = 'OPTIONS') {
            return 204;
    }
    proxy_pass http://192.168.12.1:8081;
    }

解决了跨域问题 ![6365e01d0f05d82ee9f47ccafb2b9884.png][]

##  ##

参数说明

### Access-Control-Allow-Origin ###

服务器默认是不被允许跨域的。给Nginx服务器配置`Access-Control-Allow-Origin *`后，表示服务器可以接受所有的请求源（Origin）,即接受所有跨域的请求。

### Access-Control-Allow-Headers ###

是为了防止出现以下错误：

> `Request header field Content-Type is not allowed by Access-Control-Allow-Headers in preflight response.`

这个错误表示当前请求Content-Type的值不被支持。其实是我们发起了"application/json"的类型请求导致的。这里涉及到一个概念：预检请求（preflight request）,请看下面"预检请求"的介绍。

### Access-Control-Allow-Methods ###

是为了防止出现以下错误：

> `Content-Type is not allowed by Access-Control-Allow-Headers in preflight response.`

### 给OPTIONS 添加 204的返回 ###

是为了处理在发送POST请求时Nginx依然拒绝访问的错误,发送"预检请求"时，需要用到方法 OPTIONS ,所以服务器需要允许该方法。

##     ##

##  ##

预检请求（preflight request）

跨域资源共享(CORS)标准新增了一组 HTTP 首部字段，允许服务器声明哪些源站有权限访问哪些资源。另外，规范要求，对那些可能对服务器数据产生副作用的HTTP 请求方法（特别是 GET 以外的 HTTP 请求，或者搭配某些 MIME 类型的 POST 请求），浏览器必须首先使用 OPTIONS 方法发起一个预检请求（preflight request），从而获知服务端是否允许该跨域请求。服务器确认允许之后，才发起实际的 HTTP 请求。在预检请求的返回中，服务器端也可以通知客户端，是否需要携带身份凭证（包括 Cookies 和 HTTP 认证相关数据）。  其实Content-Type字段的类型为application/json的请求就是上面所说的搭配某些 MIME 类型的 POST 请求,CORS规定，Content-Type不属于以下MIME类型的，都属于预检请求   所以 application/json的请求 会在正式通信之前，增加一次"预检"请求，这次"预检"请求会带上头部信息 Access-Control-Request-Headers: Content-Type：

OPTIONS /api/test HTTP/1.1
    Origin: http://foo.example
    Access-Control-Request-Method: POST
    Access-Control-Request-Headers: Content-Type
    ... 省略了一些

服务器回应时，返回的头部信息如果不包含Access-Control-Allow-Headers: Content-Type则表示不接受非默认的的Content-Type。即出现以下错误：

`Request header field Content-Type is not allowed by Access-Control-Allow-Headers in preflight response.`

**回复**【**干货**】获取精选干货视频教程

**回复**【**加群**】加入疑难问题攻坚交流群

**回复**【**mat**】获取内存溢出问题分析详细文档教程

**回复**【**赚钱**】获取用java写一个能赚钱的微信机器人

**回复**【**副业**】获取程序员副业攻略一份

![f2ffa748a7532ef0b09d0d2b4f094564.png][]

![c99b054f57743c553d2310b822197f62.png][]

都收藏了，就点个「在看」支持一下吧！

![9c045b54f6e4625b8f1e7ae1725a4551.png][]

点下在看，你最好看

[a8a13dde904cdc5a3d7da600ddb1d8fa.png]: /images/20221022/4bcb91076f7b46b1ba2056805330e52c.png
[23ba20e391bcfb29514a0260d4fd6e8a.png]: /images/20221022/2f3920e0698a4e279c3ae11963ddc042.png
[db17e8de5f2c3d14a20467a8a51f7588.png]: /images/20221022/17df9f1355b044eca08e8fe75a5dccf9.png
[6479c9009bee0a9486926cd16ae54ebc.png]: /images/20221022/25169276376e42b58c366f47292830d9.png
[ab34da5276d5a58e462e1c0d7ef4c5db.png]: /images/20221022/11a011e300034fe9bf442914fdf261c5.png
[c4f5e4051e9a7650c538733a3bd26761.png]: /images/20221022/31903d5213394a939f2a058c62608311.png
[ce50a90d08bd1f313644bfb4c895e626.png]: /images/20221022/06450b8a2cb749bc97cd1ec0bfc8f36e.png
[6365e01d0f05d82ee9f47ccafb2b9884.png]: /images/20221022/3f8350b5101640bfad1b848ddb8e4443.png
[f2ffa748a7532ef0b09d0d2b4f094564.png]: /images/20221022/6eda4e1cef834ae2b24bf9462ef34889.png
[c99b054f57743c553d2310b822197f62.png]: /images/20221022/a0649946abc34a4ebcb7d5c2df769b77.png
[9c045b54f6e4625b8f1e7ae1725a4551.png]: /images/20221022/234aa0e0d74f46209acf232371023bf8.png