.NET 反向代理 YARP 跨域請求 CORS

　　使用過 nginx 的小夥伴應該都知道，這個中間件是可以設置跨域的，作為今天的主角，同樣的 反向代理中間件的 YARP 毫無意外也支援了跨域請求設置。

　　有些小夥伴可能會問了，怎樣才算是跨域呢？

　　在 HTML 中，一些標籤，例如 img、a 等，還有我們非常熟悉的 Ajax，都是可以指向非本站的資源的，那什麼是非本站呢，不同域名、不同埠、還有 http和 https，其中一個不一樣，都是屬於跨域請求。

　　簡單來說，就是 協議 + 域名 + 埠號，三者一致為同域，否則跨域。

​ 　　而因為跨域可能會被利用進行 CSRF 攻擊，做過安全掃描的應該對這個非常熟悉，除非被請求站點允許跨域請求，否則瀏覽請將會限制這些請求，而什麼是 CSRF 攻擊呢，下面我摘抄一段介紹：

 

　　跨站請求偽造（英語：Cross-site request forgery），也被稱為 one-click attack 或者 session riding，通常縮寫為 CSRF 或者 XSRF， 是一種挾制用戶在當前已登錄的Web應用程式上執行非本意的操作的攻擊方法。跟跨網站腳本（XSS）相比，XSS 利用的是用戶對指定網站的信任，CSRF 利用的是網站對用戶網頁瀏覽器的信任。

攻擊細節

　　跨站請求攻擊，簡單地說，是攻擊者通過一些技術手段欺騙用戶的瀏覽器去訪問一個自己曾經認證過的網站並運行一些操作（如發郵件，發消息，甚至財產操作如轉賬和購買商品）。由於瀏覽器曾經認證過，所以被訪問的網站會認為是真正的用戶操作而去運行。這利用了web中用戶身份驗證的一個漏洞：簡單的身份驗證只能保證請求發自某個用戶的瀏覽器，卻不能保證請求本身是用戶自願發出的。
例子
　　假如一家銀行用以運行轉賬操作的URL地址如下：//www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName
那麼，一個惡意攻擊者可以在另一個網站上放置如下程式碼： <img src="//www.examplebank.com/withdraw?account=Alice&amount=1000&for=Badman">
如果有賬戶名為Alice的用戶訪問了惡意站點，而她之前剛訪問過銀行不久，登錄資訊尚未過期，那麼她就會損失1000資金。
這種惡意的網址可以有很多種形式，藏身於網頁中的許多地方。此外，攻擊者也不需要控制放置惡意網址的網站。例如他可以將這種地址藏在論壇，部落格等任何用戶生成內容的網站中。這意味著如果服務端沒有合適的防禦措施的話，用戶即使訪問熟悉的可信網站也有受攻擊的危險。
　　透過例子能夠看出，攻擊者並不能通過CSRF攻擊來直接獲取用戶的賬戶控制權，也不能直接竊取用戶的任何資訊。他們能做到的，是欺騙用戶瀏覽器，讓其以用戶的名義運行操作。
 

　　言歸正傳，我們來看看 YARP 是怎麼實現 CORS 的：

1、在配置中設置跨域策略

{
  "ReverseProxy": {
    "Routes": {
      "route1" : {
        "ClusterId": "cluster1",
        "CorsPolicy": "customPolicy",//跨域策略名稱，具體策略需要在程式碼中編寫，名稱大小寫不敏感
        "Match": {
          "Hosts": [ "localhost" ]
        },
      }
    },
    "Clusters": {
      "cluster1": {
        "Destinations": {
          "cluster1/destination1": {
            "Address": "//localhost:10001/"
          }
        }
      }
    }
  }
}

　　我翻閱了資料，發現這個非常的無語（當然可能是我沒找到，有新發現的大佬請告知一下我），配置中只是指定了跨域策略的名稱，具體的策略內容卻沒有，而是需要在程式碼裡面編寫，實際上的處理，還是在 CORS 中間件上處理，還真的是能少造輪子就少造（當然，我是非常支援這樣的理念的）。

2、在 Startup 中編寫策略

Startup.cs ConfigureServices

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("customPolicy", builder =>
        {
            builder.AllowAnyOrigin();
        });
    });
}

　　千萬別忘了在請求管道里也要加上 Cors 中間件噢，需要注意的是 要在 Routing 中間件後加上

public void Configure(IApplicationBuilder app)
{
    app.UseRouting();

    app.UseCors();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapReverseProxy();
    });
}

　　具體 cors 怎麼用，我就不一一說了，感興趣的可以到官方文檔上看看，傳送門

　　感謝大佬們的觀看，我們下次再見，拜拜！

原文鏈接：//www.cnblogs.com/ysmc/p/16729550.html

Tags:

VirMach 便宜 VPS