nginx反向代理okex接口地址
参考网址:https://blog.csdn.net/sinat_29774479/article/details/80676360
问题描述:开发需要用okex的接口开发交易所,而okex的接口国内是访问不了的,所以需要我在香港服务器反向代理下这个接口。最初是按正常的反向代理配置的,加上了跨域的配置,但是只能请求公共的接口,也就是不需要添加header信息就能访问的接口,而私有的接口(需要添加header信息的接口)一直报跨域,跨域报错信息如下:
Access to XMLHttpRequest at 'http://okb.incre.finance/api/index/v3/BTC-USD/constituents' from origin 'http://localhost:8080' has been blocked by CORS policy: Request header field ok-access-sign is not allowed by Access-Control-Allow-Headers in preflight response.
解决方法:
因为请求是写的ajax去请求(用postman测试一直是ok的),所以了解了下ajax请求的流程,发现它是请求体包含了没有允许的Header,所以在nginx添加如下红色配置:
add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization,ok-access-sign,Access-Control-Allow-Headers,Access-Control-Request-Method,Access-Control-Request-Headers,Access-Token,aaa,ok-access-key,ok-access-passphrase,ok-access-timestamp,x-simulated-trading,Access-Control-Allow-Origin,OK_ACCESS_KEY,AAA' always;
添加配置后发现还是有跨域,报错如下:
Access to XMLHttpRequest at 'http://okb.incre.finance/api/account/v3/wallet' from origin 'http://localhost:8080' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.
翻译过来就是没有Access-Control-Allow-Origin的header在请求资源里,后来发现加header后请求后返回的状态码是401而不是200,上网搜索发现401默认添加的header不生效,而200默认添加的header是有效的,所以需要让header一直有效,在nginx里每个add_header 最后面加上always使它一直生效。
衍生问题:
问题描述:反向代理接口后,用ajax请求http地址会出现307重定向,将请求地址重定向为https,如下图
注意Response Headers中有一行:Non-Authoritative-Reason: HSTS
了解HSTS
HSTS(HTTP Strict Transport Security)。它告诉浏览器只能通过HTTPS访问当前资源,而不是HTTP。
为什么域名会加入了这个HSTS呢??
原因:是因为自己之前在谷歌浏览器访问过https域名,在谷歌浏览器中,同一个域名如果你用过https去访问,它就会将域名自动加入HSTS
查看chrome浏览器的HSTS,在浏览器输入
chrome://net-internals/#hsts,将访问的域名从HSTS中删除