Nginx配置origin限制跨域请求的详细过程

按照等保要求，跨域的不安全性，需要修复。

这个需要根据客户端传递的请求头中的Origin值，进行安全的跨站策略配置，目的是对非法的origin直接返回403错误页面。

漏洞复现

复现方式为在%20Header%20中指定%20Origin%20请求头，看是否可以请求成功。

能够请求成功，说明未对请求头进行控制，有漏洞。

curl-HOrigin:http://test.comhttp://192.168.15.32:80

修复办法

在http中定义一个通过map指令，定义跨域规则并返回是否合法

http%20{ %20%20%20%20… %20%20%20%20//%20再白名单里边返回0，不在返回1 %20%20%20%20map%20$http_origin%20$allow_cors%20{ %20%20%20%20%20%20%20%20default%201; %20%20%20%20%20%20%20%20″~^https?://.*?.tripwolf.com.*$”%201; %20%20%20%20%20%20%20%20″~^(https?://(dmp.finerice.cn)?)$”%201; %20%20%20%20%20%20%20%20″~*”%200; %20%20%20%20} %20%20%20%20server%20{ %20%20%20%20%20%20%20%20#%20指定允许其他域名访问%20%20%20%20%20%20%20%20 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Origin%20$http_origin; %20%20%20%20%20%20%20%20#%20允许的请求类型 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Methods%20GET,POST,OPTIONS; %20%20%20%20%20%20%20%20#%20许的请求头字段 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Headers%20″Origin,%20X-Requested-With,%20Content-Type,%20Accept”; %20%20%20%20%20%20%20%20location%20/%20{ %20%20%20%20%20%20%20%20%20%20%20%20#%20进行请求拦截 %20%20%20%20%20%20%20%20%20%20%20%20if%20($allow_cors%20=%200){ %20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20return%20403; %20%20%20%20%20%20%20%20%20%20%20%20} %20%20%20%20%20%20%20%20%20%20%20%20root%20/mnt/data; %20%20%20%20%20%20%20%20} %20%20%20%20} }

验证方法

通过POSTMAN进行请求模拟，配置不同的Origin，查看返回结果。

如果不需要跨域，则直接清理掉add_headerAccess-Control-Allow-Origin等相关配置，就不这么复杂了。