Yii 2.0.46跨域漏洞怎么通过配置修复-php教程-PHP中文网

yii 2.0.46 无跨域漏洞，问题源于 cors 配置不当：禁止 wildcard origin 与 credentials 共存；需指定白名单域名、显式声明 headers、确保 options 路由可达，并在认证失败前手动注入 cors 头。

yii 2.0.46跨域漏洞怎么通过配置修复

Yii 2.0.46 本身没有被官方标记为存在“跨域漏洞”，所谓“跨域问题”其实是配置不当引发的安全响应错误或功能失效，核心在于 CORS 策略与凭证（credentials）的冲突配置，不是框架代码级漏洞。修复关键不是打补丁，而是正确配置响应头和请求生命周期控制。

必须避开 wildcard + credentials 冲突

浏览器明确禁止：Access-Control-Allow-Origin: * 与 Access-Control-Allow-Credentials: true 同时存在。
Yii 2.0.46 的 yii\filters\Cors 在检测到该组合时会直接抛出异常（如 Allowing credentials for wildcard origins is insecure），导致预检失败或接口不可用。

正确做法：

Origin 必须指定具体域名数组，不能写 ['*']
若前端用了 withCredentials: true（如 axios 默认携带 cookie 或手动传 token），后端必须匹配精确来源

'corsFilter' => [
    'class' => \yii\filters\Cors::class,
    'cors' => [
        'Origin' => ['https://admin.example.com', 'http://localhost:8080'],
        'Access-Control-Allow-Credentials' => true,
        'Access-Control-Allow-Headers' => ['Authorization', 'Content-Type', 'X-Requested-With'],
        'Access-Control-Request-Method' => ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'],
        'Access-Control-Max-Age' => 3600,
    ],
],

⚠️ 注意：Access-Control-Allow-Headers 不要写 ['*'] —— Yii 2.0.46 对通配符支持不完整，建议显式列出前端实际发送的头（如 Authorization）。

OPTIONS 预检请求必须路由可达

浏览器发预检请求（OPTIONS 方法）时，若 Yii 没有对应路由规则，会返回 405 Method Not Allowed。

解决方式：
在 URL 管理配置（如 config/web.php 的 urlManager.rules）中，为 API 路径显式添加 OPTIONS 支持：

'rules' => [
    [
        'class' => 'yii\rest\UrlRule',
        'controller' => 'v1/user',
        'extraPatterns' => [
            'OPTIONS <id:>' => 'options',
            'OPTIONS' => 'options',
        ],
    ],
]</id:>

或者在控制器行为中统一加：

public function behaviors()
{
    $behaviors = parent::behaviors();
    $behaviors['corsFilter'] = [/* 上面的配置 */];
    return $behaviors;
}

认证失败（401/403）时 CORS 头丢失

这是最隐蔽的问题：当 HttpBearerAuth 或 QueryParamAuth 验证失败抛出 UnauthorizedHttpException，CorsFilter 还没执行，响应里就没有 CORS 头 → 浏览器报错 No 'Access-Control-Allow-Origin' header is present。

Yii Framework 2.0.51

Yii Framework 2.0.51 官方 Basic 应用模板，适合旧项目兼容、升级验证和开发测试。

下载

修复逻辑：
让响应头在认证环节就写入，而不是等过滤器链走到 Cors。

推荐做法：重写认证类，在 authenticate() 中手动设头：

// common/components/SecureHttpBearerAuth.php
namespace common\components;

use yii\filters\auth\HttpBearerAuth;
use yii\web\Response;

class SecureHttpBearerAuth extends HttpBearerAuth
{
    public function authenticate($user, $request, $response)
    {
        $identity = parent::authenticate($user, $request, $response);
        if ($identity === null) {
            $origin = $request->getHeaders()->get('Origin');
            // 只允许白名单 Origin 才写头（防滥用）
            $allowedOrigins = ['https://admin.example.com', 'http://localhost:8080'];
            if (in_array($origin, $allowedOrigins)) {
                $response->getHeaders()
                    ->set('Access-Control-Allow-Origin', $origin)
                    ->set('Access-Control-Allow-Credentials', 'true')
                    ->set('Access-Control-Allow-Headers', 'Authorization, Content-Type');
            }
        }
        return $identity;
    }
}

然后在控制器中使用它：

public function behaviors()
{
    return ArrayHelper::merge(parent::behaviors(), [
        'authenticator' => [
            'class' => SecureHttpBearerAuth::class,
        ],
    ]);
}