自定义Access-Control-Allow-Origin策略以解决字体文件跨域权限问题

什么是Access-Control-Allow-Origin

Access-Control-Allow-Origin是HTML5中定义的一种服务器端返回Response header,用来解决资源(比如字体)的跨域权限问题。

它定义了该资源允许被哪个域引用,或者被所有域引用(google字体使用*表示字体资源允许被所有域引用)。

什么是资源跨域权限

当两个域具有相同的协议(如http), 相同的端口(如80),相同的host(如www.example.org),那么我们就可以认为它们是相同的域。

比如http://www.example.org/和http://www.example.org/sub/是同域,而http://www.example.org, https://www.example.org, http://www.example.org:8080, http://sub.example.org中的任何两个都将构成跨域

例如www.a.com对www.b.com下的asset.php发送了一个跨域的HTTP请求,那么asset.php必须加入如下的响应头:

header("Access-Control-Allow-Origin: http://www.a.com");

坑爹的是,该域值不可为正则表达式,如http://*.a.com

如果HTML和CSS等资源所在的CDN不一致,就会出现跨域访问,而这在大型网站中是很常见的

HTML域: http://ctc.qzs.qq.com/ 【等】

CSS域: http://ctc.qzonestyle.gtimg.cn 【等】

字体与CSS是相对路径所以同域: http://ctc.qzonestyle.gtimg.cn 但是HTML与字体是跨域!

高级浏览器访问html页面的时候,对于CSS文件中使用的字体文件的请求,会带一个origin:头,这个头就是html页面所在的域。

高级浏览器(Firefox,IE9+)会对比自己发出的Request header中的Origin:和返回字体文件的Response header的Access-Control-Allow-Origin:域

  • 若相同,则表示该网站有权限使用该字体,浏览器显示字体
  • 若不同,则表示该网站无权使用该字体,浏览器虽然下载了该字体,但拒绝显示

解决办法1

  • 对于字体文件的Request,全部在返回头中加入:
  • Access-Control-Allow-Origin:*
  • 缺点:安全性问题

解决办法2

根据Request Headers的内容,决定一些需要的Response Headers的内容,这里定义规则如下:

根据Request的Origin: 进行决策,

在Origin来自

*.qq.com(包括www.qq.com; qq.com;)时;

Response Header中增加Access-Control-Allow-Origin:头

头的内容保持和Requset Headers中的Origin: 头URI中的protocol, domainname, port内容,并一致

留下评论

鄂ICP备13000209号-1

鄂公网安备 42050602000277号