配置跨域资源共享 (CORS)

安全最佳实践

遵循最小权限原则。

• 精确配置来源(AllowedOrigin)：除非 Bucket 是完全公开的，否则严禁将AllowedOrigin设置为*。应精确指定提供服务的网站域名，例如https://www.example.com。

• 收紧允许Methods(AllowedMethod)：只开放业务必需的 HTTP 方法。如果网站只需要读取数据，则只配置GET和HEAD。

• 具体指定允许Headers(AllowedHeader)：对于携带认证信息（如Authorization头）的请求，严禁使用*，必须明确列出所有必要的请求头。

性能最佳实践

• 优化预检缓存：为 缓存时间 (MaxAgeSeconds) 设置一个合理的值（如 86400 秒，即24小时），可以显著减少预检请求的数量，降低延迟和请求成本。

• 评估Vary: Origin 的影响：启用 返回 Vary: Origin 虽然可以解决缓存污染问题，但会增加CDN缓存的复杂性，可能导致缓存命中率下降和回源流量增加，从而产生额外成本和延迟。请在评估后使用。

CDN加速场景

如果Bucket开启了CDN加速并使用CDN域名访问，跨域请求将首先到达CDN节点。此时，必须在CDN控制台配置CORS规则，而不是在OSS。OSS侧的CORS配置仅在请求直接访问OSS源站域名时生效。详情请参见CDN跨域资源共享配置。

报错No 'Access-Control-Allow-Origin' header is present on the requested resource.

通常是由于浏览器缓存了不带CORS头的旧响应，或者CORS规则配置不当导致请求无法匹配任何规则。

建议先清除浏览器缓存进行测试。如果仍然报错，请参见以下步骤排查CORS跨域规则是否设置正确：

1. 登录OSS管理控制台。

2. 单击Bucket列表，然后单击目标Bucket名称。

3. 在左侧导航栏，选择数据安全>跨域设置。

4. 在跨域设置页面，单击创建规则。

5. 在创建跨域规则面板，将来源设置为*，允许Methods全部勾选，允许Headers设置为*，暴露Headers设置为ETag和x-oss-request-id，缓存时间（秒）设置为0，选中返回Vary: Origin，然后单击确定。

6. 若问题仍然未解决，请任意登录一台服务器，执行以下命令，查看跨域请求头。

   curl -voa '[$URL1]' -H 'Origin:[$URL2]'

   说明

   • [$URL1]为需要请求的OSS资源链接。

   • [$URL2]为您配置跨域规则的来源地址。

   系统显示类似如下。

   

   • 如果出现返回结果存在一个跨域头且符合您配置的跨域头，可能是由于您第一次请求没有触发跨域，返回的数据被本地缓存；而第二次触发跨域的请求没有请求服务器端，而是直接获取本地的缓存，导致跨域校验失败。 请参考以下解决方法：

     • 在浏览器页面单击Ctrl+F5，清理浏览器缓存，然后在测试跨域问题是否还存在。

     • 您将该OSS资源跨域配置的缓存时间设置为0，避免该资源在客户端进行缓存，每次请求都会重新在服务器端获取鉴权信息。

       说明

       您可以在上传文件时设置文件的cache-control为no-cache，已经上传的文件可以使用ossutil工具进行更改，如何设置cache-control请参见 set-meta（管理文件元数据）。

     • 使用CDN加速OSS，这样CDN所有请求都会返回CORS头。

   • 如果返回结果存在两个跨域头或者不符合您在OSS配置的跨域头，可能是由于使用了CDN加速OSS：

     1. 登录CDN控制台，临时取消CDN加速OSS，确认跨域问题不存在。

     2. 确认后，单击具体的域名，依次单击缓存配置 > 节点HTTP响应头。

     3. 根据您的实际情况，设定自定义HTTP响应头。

7. 若跨域问题还是没有解决，请参见OSS跨域资源共享（CORS）出现的常见错误及解决方案进一步排查处理。

报错The 'Access-Control-Allow-Origin' header has a value '...' that is not equal to the supplied origin.

服务器返回了Access-Control-Allow-Origin头，但其值与当前请求的Origin不匹配。这通常是由于缓存问题导致的。当你配置了多个网站域名访问OSS时，浏览器或CDN可能记住了给其他网站的访问许可，然后错误地提供给当前网站使用。

请在CORS规则中开启返回Vary: Origin选项，这样可以避免不同网站间的缓存混乱；或者清除浏览器缓存后重新访问。

报错Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

由于前端代码发送了携带凭证的请求，Access-Control-Allow-Credentials为True，但Access-Control-Allow-Origin的值被配置为通配符*，出于安全考虑，不允许使用通配符来源，以防止任意域访问资源并获取Credentials信息（包括Cookies、Authorization Headers等敏感数据）。

• 如果您需要在请求头中保留Credentials信息，将Access-Control-Allow-Origin的值从通配符*修改为具体的域名（例如：https://example.com）。

• 如果您不需要在请求头中保留Credentials信息，您可以在前端代码中将xhr.withCredentials设置为false，并确保服务器端的Access-Control-Allow-Credentials设置为false。

OSS跨域加载慢如何提升跨域加载时间？

跨域请求实际上是请求Header中携带Origin头请求OSS Bucket中的资源，所以加载快慢不取决于跨域，而是客户端到OSS Bucket的物理链路。如果客户端在中国香港，Bucket是中国内地的，那访问是存在远距离访问的情况，推荐您使用OSS传输加速地址来访问，这样会对链路有加速优化，详情请参见传输加速。