httpd 重复 Access-Control-Allow-Origin 并带有“始终设置标头”

Question

我正在尝试在我的服务器上启用 CORS。它同时托管 Apache HTTPD 和 Apache Tomee。HTTPD 配置为：

SetEnvIf Origin "^https://(.+\.)?my-domain.com$" allowed_origin=$0
Header always set Access-Control-Allow-Origin %{allowed_origin}e env=allowed_origin
Header set Access-Control-Allow-Credentials "true"
Header set Access-Control-Allow-Methods "GET, POST, OPTIONS, HEAD, PUT, DELETE, PATCH"
Header set Access-Control-Allow-Headers "accept,x-requested-method,origin,x-requested-with,x-request,cache-control,content-type"
Header set Access-Control-Max-Age "600"

和我的 Tomee web XML：

<filter>
  <filter-name>CorsFilter</filter-name>
  <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
  <init-param>
    <param-name>cors.allowed.headers</param-name>
    <param-value>Origin,Accept,X-Requested-With,Content-Type,Access-Control-Request-Method,Access-Control-Request-Headers,Accept-Language,Keep-Alive</param-value>
  </init-param>
  <init-param>
    <param-name>cors.allowed.methods</param-name>
    <param-value>GET,POST,HEAD,OPTIONS,PUT,PATCH,DELETE</param-value>
  </init-param>
</filter>
<filter-mapping>
  <filter-name>CorsFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

我的问题是我Access-Control-Allow-Credentials在对预检选项请求的响应中获得了两次标题：

HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://my-origin.my-domain.com
Access-Control-Allow-Origin: https://my-origin.my-domain.com
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 600
Access-Control-Allow-Methods: GET, POST, OPTIONS, HEAD, PUT, DELETE, PATCH
Access-Control-Allow-Headers: accept,x-requested-method,origin,x-requested-with,x-request,cache-control,content-type,authorization

我不明白为什么set在我的 HTTPD 配置中使用关键字没有删除重复的Access-Control-Allow-Origin. 此外，如果我删除“always”关键字，它Access-Control-Allow-Origin只会返回一个...

Answer 1

接受的答案是正确的。这只是我一直在使用的一种处理方法。

SetEnvIf Origin "^(.*(\.yoursite.com)[:0-9]*)$" cors=$1
# wash out these headers in the 'onsuccess' table if we get them from the backend
Header onsuccess unset Access-Control-Allow-Origin env=cors
Header onsuccess unset Access-Control-Allow-Credentials env=cors
Header onsuccess unset Access-Control-Allow-Methods env=cors
Header onsuccess unset Access-Control-Allow-Headers env=cors
# add them to the 'always' table
Header always set Access-Control-Allow-Origin %{cors}e env=cors
Header always set Access-Control-Allow-Credentials "true" env=cors
Header always set Access-Control-Allow-Methods "POST, GET, OPTIONS, PUT, DELETE" env=cors
Header always set Access-Control-Allow-Headers "accept,x-requested-method,origin" env=cors

Answer 2

遇到类似的问题。花了很多时间调试。

这是Apache中的一个错误。内部设计的失败以及未能对其进行记录。

Header [table] set [cookie] [value] [...]

这是操作标题的命令。apache 中至少有两个 cookie 表。

• onsuccess，默认，用于 20X 状态代码。
• always，用于错误，包括重定向代码。

根据我在野外的经验判断，所有表中的所有 cookie 都附加到响应中。

在您的示例中，Tomcat 设置的 cookie 在 onsuccess 表中，apache 中的 cookie 设置在 always 表中。响应得到两个 cookie，因此重复。

它变得比这更混乱。根据使用的模块不同，这些表具有不同的含义。例如，在使用代理或 CGI 时，cookie 的相关表是onsuccess上游服务器是否成功传递错误，但always是否发生内部 apache 错误。

这种行为没有记录。这似乎不是故意的，而是 apache 内部的结果。在当前状态下，基本上不可能使用 Apache 正确操作标头。