Nginx 跨域配置中怎么在保证安全的前提下为合作伙伴开放特定的 Open API 跨域接口-Nginx-PHP中文网

nginx开放open api跨域接口需精准放行、动态验证、保障安全：通过map指令动态匹配白名单域名设置cors头，强制校验x-partner-id格式，独立处理options预检请求，叠加限流与ip防护实现安全可控的合作伙伴接入。

nginx 跨域配置中怎么在保证安全的前提下为合作伙伴开放特定的 open api 跨域接口

直接在 Nginx 中为合作伙伴开放 Open API 跨域接口，核心是“精准放行、动态验证、不牺牲安全性”。不能简单写 Access-Control-Allow-Origin: *，否则会暴露接口给任意网站；也不能硬编码多个域名，维护成本高且易出错。关键在于把跨域控制和业务权限解耦，由 Nginx 在入口层做轻量级、可验证的判断。

只允许已备案的合作伙伴域名访问

用 $http_origin 动态匹配白名单，配合 map 指令做预校验——既避免 if 块嵌套风险，又支持多域名灵活扩展：

在 http 块顶部定义可信域名映射：

map $http_origin $cors_allowed {
    default "";
    "https://partner-a.com" "https://partner-a.com";
    "https://app.partner-b.io" "https://app.partner-b.io";
    "https://dashboard.partner-c.dev" "https://dashboard.partner-c.dev";
}

在 location 块中引用该变量设置响应头：

location /openapi/ {
    proxy_pass http://openapi-backend;
    proxy_set_header Host $host;
<pre class="brush:php;toolbar:false;">add_header 'Access-Control-Allow-Origin' $cors_allowed always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Partner-ID' always;
add_header 'Access-Control-Expose-Headers' 'X-Rate-Limit-Remaining, X-Request-ID' always;

}

这样，只有明确列在 map 表里的 origin 才能获得合法响应头，其余请求虽能到达后端，但浏览器会因 CORS 失败而拦截，前端拿不到数据——既不暴露逻辑，也不泄露敏感响应头。

强制校验合作伙伴身份标识（X-Partner-ID）

仅靠 Origin 不够可靠（可伪造），需叠加业务级凭证。让合作伙伴在请求头中携带签名过的 X-Partner-ID，Nginx 可做基础校验（如格式、长度、是否为空），再交由后端做 HMAC 验签：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在 location 块中添加校验逻辑：

if ($http_x_partner_id = "") {
    return 400 "Missing X-Partner-ID header";
}
if ($http_x_partner_id ~* "[^a-zA-Z0-9_-]") {
    return 400 "Invalid X-Partner-ID format";
}

这一步不替代后端鉴权，而是提前拦截明显异常请求，减轻后端压力，也防止恶意扫描或误调用触发完整链路处理。

区分简单请求与预检请求，避免 OPTIONS 泄露信息

合作伙伴调用若含自定义头（如 X-Partner-ID）或非简单方法（POST+JSON），浏览器必发 OPTIONS 预检。Nginx 必须独立响应，且不返回任何业务相关头：

在同个 location 内补充 OPTIONS 处理：

if ($request_method = 'OPTIONS') {
    add_header 'Access-Control-Allow-Origin' $cors_allowed;
    add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
    add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Partner-ID';
    add_header 'Access-Control-Allow-Credentials' 'true';
    add_header 'Access-Control-Max-Age' 86400;
    add_header 'Content-Length' 0;
    add_header 'Content-Type' 'text/plain charset=UTF-8';
    return 204;
}

注意：这里不 proxy_pass，也不透传后端响应；所有跨域头均由 Nginx 直接生成，确保预检阶段不暴露后端路径、版本、错误信息等敏感内容。