Amazon CloudFront CORS 实战

Amazon CloudFront 是一项强大的内容分发服务，而跨域资源共享（CORS）则是为了在 Web 应用中安全实现跨域数据传输而设计的标准。在本文中，我们将探讨如何在 Amazon CloudFront 上实战配置 CORS，确保安全地处理跨域请求。

1. CORS 概述

1.1 同源策略回顾

同源策略是浏览器的安全机制，限制页面从一个源加载的资源如何与来自另一个源的资源进行交互。CORS 提供了一种机制，使服务器能够声明哪些源被允许访问其资源。

1.2 CORS 的关键概念

• 简单请求与预检请求：

• 简单请求使用常见的 HTTP 方法（GET、POST、HEAD），而预检请求是对复杂请求的预先检查，通常是使用 OPTIONS 方法。

• CORS 头部：

• 通过在 HTTP 头部中添加特定的 CORS 头部，服务器可以声明允许的源、方法、标头等信息。

2. CloudFront 中的 CORS 配置

2.1 创建 CloudFront 发布点

在 AWS 管理控制台中创建 CloudFront 发布点，关联要分发的源，例如 S3 存储桶。

2.2 配置 CloudFront 表头

在 CloudFront 发布点的行为设置中，添加以下表头：

• Access-Control-Allow-Origin：

• 设置为允许访问资源的域，可以是具体的域名或 ​​*​​ 表示允许任何域访问。

• Access-Control-Allow-Methods：

• 指定实际请求允许使用的 HTTP 方法，如 GET、POST。

• Access-Control-Allow-Headers：

• 指定浏览器在实际请求中可以使用的额外首部。

• Access-Control-Allow-Credentials：

• 如果需要携带身份凭证（如 Cookie），设置为 true。

2.3 预检请求处理

对于复杂请求，CloudFront 需要能够正确处理预检请求。确保在行为设置中添加对 OPTIONS 方法的支持，并配置相应的 CORS 表头。

3. 安全性和最佳实践

3.1 限制允许的域

在 ​​Access-Control-Allow-Origin​​​ 中指定具体的域，而不是使用通配符 ​​*​​，以提高安全性。

3.2 考虑缓存

通过设置适当的 ​​Access-Control-Max-Age​​ 头部，可以缓存 CORS 预检请求的结果，减少对服务器的频繁查询。

3.3 添加验证

在 Lambda@Edge 函数中添加验证，确保只有经过身份验证的请求才能获得跨域资源。以下是示例代码：

'use strict';

exports.handler = async (event) => {
    const request = event.Records[0].cf.request;
    
    // 在这里进行身份验证逻辑，例如检查请求中的身份凭证

    if (/* 验证成功 */) {
        return request;
    } else {
        // 返回拒绝访问的响应
        return {
            status: '403',
            statusDescription: 'Forbidden',
            headers: {
                'content-type': [{
                    key: 'Content-Type',
                    value: 'text/plain',
                }],
            },
            body: 'Access forbidden',
        };
    }
};

4. 示例代码

以下是 CloudFront Lambda@Edge 函数的示例代码，用于动态设置 CORS 头部：

'use strict';

exports.handler = async (event) => {
    const response = event.Records[0].cf.response;
    const headers = response.headers;

    headers['access-control-allow-origin'] = [{ key: 'Access-Control-Allow-Origin', value: 'your-domain.com' }];
    headers['access-control-allow-methods'] = [{ key: 'Access-Control-Allow-Methods', value: 'GET, POST' }];
    headers['access-control-allow-headers'] = [{ key: 'Access-Control-Allow-Headers', value: 'Content-Type' }];
    headers['access-control-allow-credentials'] = [{ key: 'Access-Control-Allow-Credentials', value: 'true' }];

    return response;
};

5. 结论

通过在 Amazon CloudFront 中正确配置 CORS，我们可以安全地处理跨域请求，确保 Web 应用程序在分布式环境中顺利运行。遵循最佳实践、限制允许的域和考虑缓存等策略，可以提高应用程序的安全性和性能。在实际应用中，根据具体的业务需求和安全要求，调整 CORS 配置以获得最佳效果。添加验证逻辑能够确保只有经过身份验证的请求才能获得跨域资源，进一步提升安全性。