如何在 NelmioCorsBundle 中安全允许所有子域名跨域访问 API-php教程-PHP中文网

如何在 NelmioCorsBundle 中安全允许所有子域名跨域访问 API

本文详解如何通过 origin_regex: true 配合正则表达式，精准允许指定主域下的任意子域名（如 client1.example.com、api.example.com）访问 Symfony 应用的 /api/ 接口，避免使用通配符 * 带来的安全隐患。

本文详解如何通过 `origin_regex: true` 配合正则表达式，精准允许指定主域下的任意子域名（如 `client1.example.com`、`api.example.com`）访问 symfony 应用的 `/api/` 接口，避免使用通配符 `*` 带来的安全隐患。

NelmioCorsBundle 默认不支持 *.example.com 这类 Shell 风格的通配符语法——它仅接受明确列出的字符串或启用正则匹配模式。若需动态匹配所有子域名（如 app.example.com、dev.example.com、client123.example.com），必须启用 origin_regex: true，并配合符合 PCRE 规范的正则表达式。

以下为推荐配置（适用于 config/packages/nelmio_cors.yaml，兼容 Symfony 5+/6+）：

nelmio_cors:
    defaults:
        origin_regex: true
        # 允许 https://example.com 及所有子域名（含端口可选）
        allow_origin: ['^https?://(?:[a-zA-Z0-9_-]+\.)?example\.com(?::\d{1,5})?$']
        allow_methods: ['GET', 'OPTIONS', 'POST', 'PUT', 'PATCH', 'DELETE']
        allow_headers: ['Content-Type', 'Authorization', 'X-Requested-With', 'Cache-Control']
        expose_headers: ['Link', 'X-Total-Count', 'X-Per-Page']
        max_age: 3600
        allow_credentials: true  # 若前端需携带 Cookie 或认证凭据，此项必须为 true
    paths:
        '^/api/': ~  # 应用于所有 /api/ 开头的路由

✅ 关键说明：

origin_regex: true 必须定义在 defaults 级别（而非 paths 下），否则正则不生效；
正则 ^https?://(?:[a-zA-Z0-9_-]+\.)?example\.com(?::\d{1,5})?$ 含义：
- https? → 匹配 http 或 https；
- (?:[a-zA-Z0-9_-]+\.)? → 非捕获组，匹配零个或一个子域名前缀（如 api.、test.），支持字母、数字、下划线、短横线；
- example\.com → 字面量主域名（注意双反斜杠转义）；
- (?::\d{1,5})? → 可选端口（如 :8080）；
allow_credentials: true 与 allow_origin 正则共存时，*禁止使用 ``**，否则浏览器将拒绝响应（CORS 安全策略限制）；
若需同时支持 http 和 https，请勿省略 http? —— 生产环境虽应强制 HTTPS，但本地开发或测试子域可能依赖 HTTP。

⚠️ 注意事项：

正则中不要遗漏 ^ 和 $ 锚点，否则可能意外匹配到相似域名（如 evil-example.com）；
修改配置后务必清除 Symfony 缓存：php bin/console cache:clear --env=prod（生产环境）；
可通过浏览器开发者工具的 Network 标签页，检查预检请求（OPTIONS）响应头中 Access-Control-Allow-Origin 的值是否与当前源完全匹配；
如需调试正则，建议先在 regex101.com 中验证表达式逻辑。

综上，通过启用正则匹配并编写严谨的域名规则，你既能实现灵活的子域授权，又能保持接口级安全性——这是比全局 * 更专业、更可控的 CORS 实践方案。