如何通过Nginx实现基于IP段的API跨域访问白名单控制-Nginx-PHP中文网

可通过Nginx的map指令动态设置Access-Control-Allow-Origin响应头，实现基于IP段的API跨域白名单控制：先用map匹配可信IP段生成$cors_origin变量，再在location中条件添加跨域头，同时配合allow/deny限制访问并启用real_ip模块确保IP准确。

如何通过nginx实现基于ip段的api跨域访问白名单控制

可以通过 Nginx 的 map 指令结合 allow/deny 或自定义请求头方式，实现基于 IP 段的 API 跨域白名单控制。核心思路是：先识别请求来源 IP 是否在允许的网段内，再动态设置跨域响应头（如 Access-Control-Allow-Origin），而非简单放行或拦截整个请求。

使用 map 指令映射可信 IP 段并生成 Origin 值

Nginx 本身不支持在 add_header 中直接做条件判断，但 map 可以根据客户端 IP 动态生成变量，这是实现“有条件跨域”的关键。

在 http 块中定义：

map $remote_addr $cors_origin {
    default "";
    ~^192\.168\.1\.\d+$ "https://admin.example.com";
    ~^10\.0\.0\.\d+$ "https://internal-app.example.com";
    172.16.0.5 "https://trusted-tool.example.com";
    2001:db8::1 "https://ipv6-app.example.com";
}

说明：

$remote_addr 是真实客户端 IP（注意：若前端有代理，需用 real_ip 模块还原）
正则匹配支持 CIDR 风格的简写（如 ~^192\.168\.1\.\d+$ 匹配 192.168.1.0/24）
匹配成功时，$cors_origin 被设为指定域名；不匹配则为空字符串

在 location 中动态添加跨域响应头

在 API 对应的 location 块中，利用该变量控制响应头：

location /api/ {
    # 允许预检请求通过
    if ($request_method = 'OPTIONS') {
        add_header Access-Control-Allow-Origin $cors_origin;
        add_header Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE";
        add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization";
        add_header Access-Control-Max-Age 1728000;
        add_header Access-Control-Allow-Credentials "true";
        add_header Content-Length 0;
        add_header Content-Type text/plain;
        return 204;
    }
<pre class="brush:php;toolbar:false;"># 实际请求也带上 Origin 头（仅当白名单命中）
add_header Access-Control-Allow-Origin $cors_origin;
add_header Access-Control-Allow-Credentials "true";

# 后端代理或本地处理
proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;

}

注意：

不要在 if 外部对所有请求都加 Access-Control-Allow-Origin: *，否则会与带凭据（credentials）冲突
Access-Control-Allow-Origin 不能为 * 且同时设 Access-Control-Allow-Credentials: true，所以必须用具体域名
预检请求（OPTIONS）必须返回 204，且响应头要完整，否则浏览器会拒绝后续请求

补充安全措施：限制非白名单 IP 的跨域请求

仅靠响应头发控制不够，建议叠加访问控制，防止恶意构造 Origin 头绕过：

在 location 内添加 IP 限制（可选）：
deny all;
allow 192.168.1.0/24;
allow 10.0.0.0/8;
allow 172.16.0.5;
allow ::1;
allow 2001:db8::1;
若需保留其他 IP 访问 API（如监控、运维），但禁止其跨域，则不设 Access-Control-Allow-Origin，浏览器自然拦截前端调用，后端接口仍可用
启用 real_ip 模块确保 $remote_addr 准确（尤其在有 CDN 或 LB 时）：
set_real_ip_from 10.0.0.0/8;
real_ip_header X-Forwarded-For;

验证与调试技巧

上线前务必测试不同来源的请求行为：

用 curl -H "Origin: https://attacker.com" -I https://yoursite.com/api/test 检查是否无 Access-Control-Allow-Origin 头
从白名单 IP 发起请求，确认响应头含对应 Access-Control-Allow-Origin 且值正确
检查浏览器控制台——跨域失败时看是 “CORS header missing” 还是 “origin not allowed”，定位是配置遗漏还是匹配逻辑问题
开启 Nginx error log 的 debug 级别（临时），观察 map 变量是否按预期赋值