正确配置Access-Control-Allow-Origin，千万不要设置成*

本文介绍: 正确配置Ac ce ss-Con trol-Allow-Ori gin，千万不要设置成*，这样的配置太不安全。

随着前后台架构的兴起，以及各种小程序、客户端等异地前端的部署架构，相信大家都经常会遇到CORS问题，CORS问题会阻止后台数据的正常返回，如果你搜索相关错误，你会遇到很多教程，教你修改Ac ce ss-Con trol-Allow-Ori gin，解决CORS问题。

那这里我要多说一句，如果搜到的方案是让你把Ac ce ss-Con trol-Allow-Ori gin 配置成*，请不要这么做，至少在生产环境不要这么做。

Ac c e ss-Control-Allow-Ori gin配置成*什么意思？意思是允许任意网站跨域访问该服务端口，在这种情况下，任意一个前端程序都可以随意集成该端口内容，实现数据获取。

那正确的方法是什么呢？应该配置成为你允许的网站。例如百家饭的域名是rongapi.cn，访问方式是https，那就应该是https://rongapi.cn/，最保险的获取该地址的方式是打开你的前端调试窗口，查看任意网络请求中标头里面origin的内容，如下图，请注意，有些地方会说要用referer的值，但是从下图我们可以看出，origin这个值和referer的值是不同的。

那我们拿到这个orig in的值，配置到Access-Control-Allow-Orig in里面是完全没有问题的。

add_header 'Access-Control-Allow-Origin' 'xxxxx';

location / {
    if ($http_origin ~* "^https?://(rongapi.cn|www.rongapi.cn)$") {
        add_header Access-Control-Allow-Origin "$http_origin";
    }
}

if ($request_method = 'OPTIONS') {
        add_header 'Access-Control-Allow-Origin' '*';
        #
        # Om nom nom cookies
        #
        add_header 'Access-Control-Allow-Credentials' 'true';
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        #
        # Custom headers and headers various browsers *should* be OK with but aren't
        #
        add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type';
        #
        # Tell client that this pre-flight info is valid for 20 days
        #
        add_header 'Access-Control-Max-Age' 1728000;
        add_header 'Content-Type' 'text/plain charset=UTF-8';
        add_header 'Content-Length' 0;
        return 204;
     }