引言
跨域资源共享（Cross-Origin Resource Sharing，简称CORS）是现代Web开发中至关重要的技术，它允许浏览器安全地从不同源（域名、协议或端口）的服务器请求资源。Apache服务器作为最流行的Web服务器之一，提供了多种配置CORS的方法。本文将详细介绍在Apache服务器上配置CORS的完整步骤、最佳实践以及常见问题的解决方案。
一、CORS基础概念
1.1 什么是CORS？
CORS是一种基于HTTP头的机制，它允许服务器声明哪些源可以访问其资源。浏览器在执行跨域请求时，会自动添加
Origin
头，服务器根据这个头来决定是否允许该请求。
1.2 为什么需要CORS？
由于浏览器的同源策略（Same-Origin Policy），默认情况下，Web应用只能访问与自身同源的资源。CORS机制使得Web应用能够安全地访问不同源的资源，同时保持浏览器的安全限制。
1.3 CORS请求类型
简单请求
：满足以下条件的请求：
方法为GET、HEAD或POST
Content-Type仅限于
application/x-www-form-urlencoded
、
multipart/form-data
或
text/plain
没有自定义请求头
预检请求
：不满足简单请求条件的请求，浏览器会先发送一个OPTIONS请求（预检请求）到服务器，询问是否允许实际请求。
二、Apache配置CORS的方法
2.1 使用
.htaccess
文件配置
.htaccess
文件是Apache的分布式配置文件，可以放在网站根目录或特定目录下。这种方法适用于共享主机环境或需要对特定目录进行配置的情况。
2.1.1 基本配置示例
# 启用CORS
Header set Access-Control-Allow-Origin “*”
Header set Access-Control-Allow-Methods “GET, POST, OPTIONS”
Header set Access-Control-Allow-Headers “Content-Type, Authorization”
Header set Access-Control-Allow-Credentials “true”
详细说明：
Access-Control-Allow-Origin
: 指定允许访问的源。
*
表示允许所有源（生产环境建议指定具体域名）
Access-Control-Allow-Methods
: 允许的HTTP方法
Access-Control-Allow-Headers
: 允许的请求头
Access-Control-Allow-Credentials
: 是否允许发送凭证（如cookies）
2.1.2 处理预检请求
对于预检请求（OPTIONS方法），需要特殊处理：
# 处理OPTIONS请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
或者更完整的配置：
# 处理预检请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
# 设置CORS头
Header always set Access-Control-Allow-Origin “*”
Header always set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header always set Access-Control-Allow-Headers “Content-Type, Authorization, X-Requested-With”
Header always set Access-Control-Allow-Credentials “true”
Header always set Access-Control-Max-Age “86400”
注意：
Header always set
确保即使在错误响应中也会设置CORS头。
2.2 使用Apache主配置文件
如果你有服务器的root权限，可以在Apache主配置文件（如
httpd.conf
或
apache2.conf
）或虚拟主机配置文件中配置CORS。
2.2.1 全局配置
# 在httpd.conf或apache2.conf中
LoadModule headers_module modules/mod_headers.so
LoadModule rewrite_module modules/mod_rewrite.so
# 全局CORS配置
Header set Access-Control-Allow-Origin “*”
Header set Access-Control-Allow-Methods “GET, POST, OPTIONS”
Header set Access-Control-Allow-Headers “Content-Type, Authorization”
2.2.2 虚拟主机配置
ServerName example.com
DocumentRoot /var/www/html
# 仅对该虚拟主机启用CORS
Header set Access-Control-Allow-Origin “https://api.example.com”
Header set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header set Access-Control-Allow-Headers “Content-Type, Authorization, X-Requested-With”
Header set Access-Control-Allow-Credentials “true”
2.3 使用mod_cors模块（Apache 2.4+）
Apache 2.4引入了专门的
mod_cors
模块，提供了更简洁的配置方式。
2.3.1 安装mod_cors
# Ubuntu/Debian
sudo apt-get install libapache2-mod-cors
# CentOS/RHEL
sudo yum install mod_cors
# 启用模块
sudo a2enmod cors
sudo systemctl restart apache2
2.3.2 配置示例
# 在.htaccess或虚拟主机配置中
# 启用CORS
CorsEnable
# 设置允许的源
CorsAllowOrigin “https://api.example.com,https://www.example.com”
# 设置允许的方法
CorsAllowMethods “GET, POST, PUT, DELETE, OPTIONS”
# 设置允许的头
CorsAllowHeaders “Content-Type, Authorization, X-Requested-With”
# 是否允许凭证
CorsAllowCredentials true
# 预检请求缓存时间（秒）
CorsMaxAge 86400
# 暴露的头（客户端可以访问的响应头）
CorsExposeHeaders “Content-Length, Content-Range”
三、高级配置场景
3.1 动态源配置
在某些场景下，你可能需要根据请求动态设置允许的源。这可以通过Apache的
mod_rewrite
和
mod_headers
结合实现。
# 动态设置Access-Control-Allow-Origin
RewriteEngine On
# 检查Origin头
RewriteCond %{HTTP:Origin} ^https?://(www\.)?example\.com$ [NC]
RewriteRule .* – [E=CORS_ORIGIN:%1]
# 如果Origin匹配，设置CORS头
Header always set Access-Control-Allow-Origin “%{CORS_ORIGIN}e” env=CORS_ORIGIN
Header always set Access-Control-Allow-Methods “GET, POST, OPTIONS”
Header always set Access-Control-Allow-Headers “Content-Type, Authorization”
3.2 基于路径的CORS配置
你可以为不同的URL路径设置不同的CORS策略：
# 对/api路径启用CORS
Header set Access-Control-Allow-Origin “*”
Header set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header set Access-Control-Allow-Headers “Content-Type, Authorization”
# 对/static路径不启用CORS
Header unset Access-Control-Allow-Origin
3.3 处理复杂请求和预检请求
对于复杂的跨域请求，需要正确处理预检请求：
# 完整的CORS配置，包括预检请求处理
# 处理OPTIONS请求（预检请求）
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
# 设置CORS头
Header always set Access-Control-Allow-Origin “https://api.example.com”
Header always set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header always set Access-Control-Allow-Headers “Content-Type, Authorization, X-Requested-With, X-Custom-Header”
Header always set Access-Control-Allow-Credentials “true”
Header always set Access-Control-Max-Age “86400”
# 暴露的响应头（客户端可以访问的响应头）
Header always set Access-Control-Expose-Headers “Content-Length, Content-Range, X-Custom-Response-Header”
3.4 处理带凭证的请求
当需要发送cookies或HTTP认证信息时，需要特殊配置：
# 带凭证的CORS配置
# 注意：当使用凭证时，Access-Control-Allow-Origin不能是”*”
# 必须指定具体的源
Header set Access-Control-Allow-Origin “https://api.example.com”
# 允许凭证
Header set Access-Control-Allow-Credentials “true”
# 允许的头
Header set Access-Control-Allow-Headers “Content-Type, Authorization, Cookie”
# 允许的方法
Header set Access-Control-Allow-Methods “GET, POST, OPTIONS”
重要提示：
当
Access-Control-Allow-Credentials
设置为
true
时，
Access-Control-Allow-Origin
不能是
*
，必须指定具体的源。
四、常见问题解析
4.1 问题1：CORS配置不生效
症状：
浏览器仍然显示CORS错误，即使配置了CORS头。
可能原因及解决方案：
模块未启用
“`bash
检查mod_headers是否启用
apachectl -M | grep headers
# 如果未启用，启用模块
sudo a2enmod headers
sudo systemctl restart apache2
2. **配置语法错误**
“`apache
# 错误示例：缺少引号
Header set Access-Control-Allow-Origin https://example.com
# 正确示例
Header set Access-Control-Allow-Origin “https://example.com”
配置位置错误
确保配置在正确的上下文中（如
、
或
）
检查是否有其他配置覆盖了你的设置
缓存问题
# 添加缓存控制头
Header set Cache-Control “no-cache, no-store, must-revalidate”
Header set Pragma “no-cache”
Header set Expires “0”
4.2 问题2：预检请求失败
症状：
浏览器发送OPTIONS请求后，服务器返回405 Method Not Allowed或500错误。
解决方案：
确保OPTIONS方法被允许
# 在Apache配置中允许OPTIONS方法
Require all granted
正确处理OPTIONS请求
“`apache
使用mod_rewrite处理OPTIONS请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)
\( \)
1 [R=200,L]
# 或者使用mod_cors
CorsEnable
CorsAllowMethods “GET, POST, PUT, DELETE, OPTIONS”
3. **检查请求头**
“`apache
# 确保允许的头与客户端发送的头匹配
Header set Access-Control-Allow-Headers “Content-Type, Authorization, X-Requested-With, X-Custom-Header”
4.3 问题3：凭证请求失败
症状：
当发送带凭证的请求时，浏览器显示CORS错误。
解决方案：
确保Access-Control-Allow-Origin不是”*”
“`apache
错误配置
Header set Access-Control-Allow-Origin “*”
Header set Access-Control-Allow-Credentials “true”
# 正确配置
Header set Access-Control-Allow-Origin “
https://api.example.com”
Header set Access-Control-Allow-Credentials “true”
2. **确保客户端正确设置withCredentials**
“`javascript
// 前端JavaScript示例
fetch(‘https://api.example.com/data’, {
method: ‘GET’,
credentials: ‘include’, // 或 ‘same-origin’
headers: {
‘Content-Type’: ‘application/json’
}
})
.then(response => response.json())
.then(data => console.log(data));
检查Cookie设置
# 确保Cookie的SameSite属性设置正确
Header set Set-Cookie “session=abc123; SameSite=None; Secure”
4.4 问题4：响应头暴露问题
症状：
客户端无法访问自定义响应头。
解决方案：
# 使用Access-Control-Expose-Headers暴露响应头
Header set Access-Control-Expose-Headers “X-Custom-Response-Header, Content-Length, Content-Range”
4.5 问题5：性能问题
症状：
预检请求导致性能下降。
解决方案：
增加预检请求缓存时间
# 设置预检请求缓存时间为24小时
Header set Access-Control-Max-Age “86400”
优化配置
# 只在需要时设置CORS头
# 检查是否是跨域请求
RewriteCond %{HTTP:Origin} !^$
RewriteRule .* – [E=CORS_REQUEST:1]
# 只对跨域请求设置CORS头
Header always set Access-Control-Allow-Origin “%{HTTP:Origin}e” env=CORS_REQUEST
Header always set Access-Control-Allow-Methods “GET, POST, OPTIONS” env=CORS_REQUEST
五、最佳实践
5.1 安全最佳实践
避免使用通配符
“`apache
不推荐
Header set Access-Control-Allow-Origin “*”
# 推荐
Header set Access-Control-Allow-Origin “
https://api.example.com,https://www.example.com”
2. **限制允许的方法**
“`apache
# 只允许必要的方法
Header set Access-Control-Allow-Methods “GET, POST”
限制允许的头
# 只允许必要的头
Header set Access-Control-Allow-Headers “Content-Type, Authorization”
使用HTTPS
# 强制使用HTTPS
Header set Access-Control-Allow-Origin “https://api.example.com”
5.2 性能最佳实践
使用缓存
# 缓存预检请求
Header set Access-Control-Max-Age “86400”
条件配置
# 只对特定路径启用CORS
Header set Access-Control-Allow-Origin “https://api.example.com”
使用mod_cors模块
# mod_cors通常比手动配置更高效
CorsEnable
CorsAllowOrigin “https://api.example.com”
CorsAllowMethods “GET, POST”
5.3 调试技巧
检查响应头
# 使用curl检查响应头
curl -I -H “Origin: https://example.com” https://api.example.com/data
查看Apache错误日志
# 查看错误日志
tail -f /var/log/apache2/error.log
使用浏览器开发者工具
检查Network标签中的请求和响应头
查看Console标签中的CORS错误信息
六、完整配置示例
6.1 生产环境完整配置
# .htaccess 文件
# 处理预检请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
# 设置CORS头
Header always set Access-Control-Allow-Origin “https://api.example.com,https://www.example.com”
Header always set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header always set Access-Control-Allow-Headers “Content-Type, Authorization, X-Requested-With, X-Custom-Header”
Header always set Access-Control-Allow-Credentials “true”
Header always set Access-Control-Max-Age “86400”
Header always set Access-Control-Expose-Headers “Content-Length, Content-Range, X-Custom-Response-Header”
# 安全头
Header always set X-Content-Type-Options “nosniff”
Header always set X-Frame-Options “DENY”
Header always set X-XSS-Protection “1; mode=block”
# 重写规则
RewriteEngine On
# 重写规则示例
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ index.php [QSA,L]
6.2 开发环境配置
# 开发环境允许所有源（仅用于开发）
# 处理预检请求
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]
# 允许所有源（开发环境）
Header always set Access-Control-Allow-Origin “*”
Header always set Access-Control-Allow-Methods “GET, POST, PUT, DELETE, OPTIONS”
Header always set Access-Control-Allow-Headers “*”
Header always set Access-Control-Allow-Credentials “true”
Header always set Access-Control-Max-Age “86400”
七、总结
在Apache服务器上配置CORS需要考虑多个因素，包括安全性、性能和兼容性。通过本文的详细指南，你应该能够：
理解CORS的基本概念和工作原理
掌握在Apache上配置CORS的多种方法
解决常见的CORS配置问题
遵循最佳实践确保安全和性能
记住，CORS配置应该根据具体的应用需求进行调整。在生产环境中，始终使用最严格的配置，只允许必要的源、方法和头。定期检查和更新你的CORS配置，以适应应用的变化和安全要求。
八、参考资料
MDN Web Docs – CORS
Apache官方文档 – mod_headers
Apache官方文档 – mod_cors
OWASP CORS安全指南
通过遵循本指南，你将能够有效地在Apache服务器上实现CORS，确保你的Web应用能够安全地进行跨域资源共享。