OSS 跨域配置

跨域问题可以通过脚本检查了

https://help.aliyun.com/document_detail/92151.html?spm=a2c4g.11186623.6.1275.41ab334esuiZHk

开启学习之旅

一个资源请求一个其它域名的资源时会发起一个跨域 HTTP 请求 cross-origin HTTP request 比如说，域名A http://domaina.example 的某 Web 应用通过 <img> 标签引入了域名 B http://domainb.foo 的某图片资源 http://domainb.foo/image.jpg 域名 A 的 Web 应用就会导致浏览器发起一个跨域 HTTP 请求。

http://www.123.com/index.html 调用 http://www.123.com/server.php （非跨域）

http://www.123.com/index.html 调用 http://www.456.com/server.php （主域名不同:123/456，跨域）

http://abc.123.com/index.html 调用 http://def.123.com/server.php （子域名不同:abc/def，跨域）

http://www.123.com:8080/index.html 调用 http://www.123.com:8081/server.php （端口不同:8080/8081，跨域）

http://www.123.com/index.html 调用 https://www.123.com/server.php （协议不同:http/https，跨域）

请注意：localhost和127.0.0.1虽然都指向本机，但也属于跨域。

跨域请求标识

origin ，当浏览器识别出 client 发起的请求需要转到另外一个域名上处理是，会在请求的 request header 中增加一个 origin 标识，如下我用 curl 测试了一个域名。

curl -voa http://mo-im.oss-cn-beijing.aliyuncs.com/stu_avatar/010/personal.jpg -H "Origin:www.mobby.cn"
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0*   Trying 59.110.190.173...
* TCP_NODELAY set
* Connected to mo-im.oss-cn-beijing.aliyuncs.com (59.110.190.173) port 80 (#0)
> GET /stu_avatar/010/personal.jpg HTTP/1.1
> Host: mo-im.oss-cn-beijing.aliyuncs.com
> User-Agent: curl/7.54.0
> Accept: */*
> Origin:www.mo.cn
> 
< HTTP/1.1 200 OK
< Server: AliyunOSS
< Date: Sun, 09 Sep 2018 12:30:28 GMT
< Content-Type: image/jpeg
< Content-Length: 8407
< Connection: keep-alive
< x-oss-request-id: 
< Access-Control-Allow-Origin: www.mobby.cn
< Access-Control-Allow-Credentials: true
< Access-Control-Allow-Methods: GET, POST, HEAD
< Access-Control-Max-Age: 0
< Accept-Ranges: bytes

可以看到挡我发起 origin 的请求头后，如果目标的网页服务允许来源的域名访问，就会在响应的 respond 头上带上跨域的响应头。（以下 header 目标域名如果设置了才会有响应）

< Access-Control-Allow-Origin: www.mobby.cn （允许的跨域来源，可以写 *,或者绝对域名） 
< Access-Control-Allow-Headers: *（允许跨域时携带哪些 header ）
< Access-Control-Allow-Methods: GET, POST, HEAD （允许哪些跨域请求方法，origin 是默认支持的）

跨域场景分类

案例：CDN 访问 CDN

通过报错可以看出来 发起跨区域请求的源头 是 bo3.ai.com 加载了 www.ai.com 网站的资源，这两个域名都在 阿里云 cdn 加速。既然找到了请求目的 www.ai.com，那么直接检查下目的域名上是否新增了跨域头。这种情况基本都是目的域名没有加上允许的跨域头导致。

案例：直传 OSS 引用 CDN 资源

用户直接上传到 OSS ，但是应用了 CDN 的域名时出现的跨