Yii支持多域名cors原理的实现

第Yii支持多域名cors原理的实现平常我们遇到跨域问题时，常使用cors（Cross-originresourcesharin）方式解决。不知你是否注意到，在设置响应头Access-Control-Allow-Origin域的值时，只允许设置一个域名，这意味着不能同时设置多个域名来共享资源。而在Yii2中直接使用'Origin'=['','']的形式却可以设置多个cors域名值，Why

其实，Yii2中采用了动态设置Access-Control-Allow-Origin域值的方法来解决这个问题。

说明：测试使用的接口域名，cros多域名为和。

Nginx设置多域名

尝试直接通过Nginx的add_header模块追加Access-Control-Allow-Origin值实现，如下：

add_headerAccess-Control-Allow-Origin;

add_headerAccess-Control-Allow-Origin;

接口请求和响应头如下：

ResponseHeaders

Access-Control-Allow-Origin:

Access-Control-Allow-Origin:

Connection:keep-alive

Content-Type:application/json;charset=UTF-8

......

RequestHeaders

Accept:*/*

Accept-Encoding:gzip,deflate

Accept-Language:zh-CN,zh;q=0.8

Host:

Origin:

Proxy-Connection:keep-alive

......

当前域为，需跨域请求/v1/config/list.json的资源。浏览器抛出如下跨域错误：

XMLHttpRequestcannotload/v1/config/list.json.The'Access-Control-Allow-Origin'headercontainsmultiplevalues',',butonlyoneisallowed.Origin''isthereforenotallowedaccess.

以上信息明确说明，Access-Control-Allow-Origin只能设置为一个值，即每次请求只能对应一个域名值。故通过该方法不能设置多域名进行cors。

Yii2设置多域名

Yii2设置多域名cors，只需在对应控制器（ConfigController）中设置cors行为，如下：

classBaseControllerextendsController

*@inheritdoc

publicfunctionbehaviors()

return[

'corsFilter'=[

'class'=\yii\filters\Cors::className(),

'cors'=[

//运行cors域名列表

'Origin'=['',''],

'Access-Control-Allow-Credentials'=true,

}

重新在发送cors请求，发现此时已经不存在跨域问题。响应头如下：

Access-Control-Allow-Credentials:true

Access-Control-Allow-Origin:

Connection:keep-alive

Content-Type:application/json;charset=UTF-8

......

我们会发现，Access-Control-Allow-Origin域的值为，刚好为当前域名一致，且只有一个值，并未出现设置的值。

同时，在下发送cors请求，也不存在跨域问题。响应头中Access-Control-Allow-Origin值为。

由此可知，Yii2在控制器行为中设置Origin项，只是一个域名白名单，而返回的Access-Control-Allow-Origin同请求的域名一致且在这个白名单中，这个Access-Control-Allow-Origin由Yii2根据当前请求所在域名进行了动态处理。

Yii2动态Access-Control-Allow-Origin

查看Yii2的\yii\filters\Cors类源码，如下：

classCorsextendsActionFilter

*@vararrayCORS所用的响应头

public$cors=[

'Origin'=['*'],

'Access-Control-Request-Method'=['GET','POST','PUT','PATCH','DELETE','HEAD','OPTIONS'],

'Access-Control-Request-Headers'=['*'],

'Access-Control-Allow-Credentials'=null,

'Access-Control-Max-Age'=86400,

'Access-Control-Expose-Headers'=[],

*执行action前要做的事

*@inheritdoc

publicfunctionbeforeAction($action)

$this-request=$this-request:Yii::$app-getRequest();

$this-response=$this-response:Yii::$app-getResponse();

......

$requestCorsHeaders=$this-extractHeaders();

//获取cors所用的响应头

$responseCorsHeaders=$this-prepareHeaders($requestCorsHeaders);

//设置cors所用的响应头

$this-addCorsHeaders($this-response,$responseCorsHeaders);

returntrue;

*处理cors所用的响应头，动态处理Access-Control-Allow-Origin域

*@paramarray$requestHeadersCORSheaderswehavedetected

*@returnarrayCORSheadersreadytobesent

publicfunctionprepareHeaders($requestHeaders)

$responseHeaders=[];

//$requestHeaders['Origin']为源地址，请求所在域名

if(isset($requestHeaders['Origin'],$this-cors['Origin'])){

//源地址在白名单中，则设置Access-Control-Allow-Origin为源地址

if(in_array('*',$this-cors['Origin'])||in_array($requestHeaders['Origin'],$this-cors['Origin'])){

$responseHeaders['Access-Control-Allow-Origin']=$requestHeaders['Origin'];

......

}

主要思想就是，查看源地址是否在cors白名单中，在则设置Access-Control-Allow-Origin域的值为源地址。这样就能满足Access-Control-Allow-Origin为一个值的限制，同时也能允许指定的域名进行cors。

注意：使用该方法请确保Nginx配置中未操作Access-Control-Allow-Origin域。

总结

通过N