Apache中如何配置CORS支持跨域请求实例？

在Web开发中,跨域资源共享（CORS）是一个常见的需求，当前端应用与后端服务部署在不同域名或端口时，浏览器会因同源策略限制发起跨域请求，Apache作为广泛使用的Web服务器，通过配置模块可以灵活支持CORS，本文将详细介绍Apache中配置CORS的实例及注意事项。

启用mod_headers模块

Apache的CORS配置主要依赖mod_headers模块，该模块用于管理HTTP头信息，首先需要确保模块已启用，通过以下命令检查：

若未启用,在Ubuntu/Debian系统中可通过以下命令启用：

sudo a2enmod headers

启用后重启Apache服务使配置生效：

sudo systemctl restart apache2

基础CORS配置示例

在虚拟主机配置文件（如/etc/apache2/sites-available/000-default.conf）或.htaccess文件中添加以下配置：

<IfModule mod_headers.c> # 允许所有域名跨域访问（生产环境建议指定具体域名） Header always set Access-Control-Allow-Origin "*" # 允许的请求方法 Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" # 允许的请求头 Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" # 预检请求的有效期（单位：秒） Header always set Access-Control-Max-Age "86400" # 允许携带凭证（如Cookie） Header always set Access-Control-Allow-Credentials "true" </IfModule>

针对不同域名的精细化配置

当需要为不同域名设置差异化CORS策略时,可使用mod_setenvif模块结合条件判断：

<IfModule mod_headers.c> <If "%{HTTP_ORIGIN} == 'https://example.com'"> Header always set Access-Control-Allow-Origin "https://example.com" </If> <ElseIf "%{HTTP_ORIGIN} == 'https://sub.example.com'"> Header always set Access-Control-Allow-Origin "https://sub.example.com" </ElseIf> <Else> Header always set Access-Control-Allow-Origin "null" </Else> </IfModule>

处理预检请求（OPTIONS方法）

预检请求是浏览器发送的跨域前验证请求,需确保Apache正确响应，可通过以下配置为特定路径启用OPTIONS方法：

<Directory "/var/www/api"> <IfModule mod_headers.c> Header always set Access-Control-Allow-Methods "OPTIONS, GET, POST" Header always set Access-Control-Allow-Headers "Content-Type" </IfModule> # 确保OPTIONS方法不被禁止 <LimitExcept GET POST> Require all denied </LimitExcept> </Directory>

常见配置问题与解决方案

在实际配置中,可能会遇到以下问题：

生产环境安全建议

1. 限制允许的域名：避免使用，明确指定可信域名
2. 控制允许的HTTP方法：仅开放业务必需的请求方法
3. 启用日志监控：通过CustomLog记录CORS相关请求，便于排查问题
4. 结合HTTPS：在跨域请求中启用TLS，防止中间人攻破

通过以上配置,Apache可以有效支持CORS，实现前后端分离架构下的安全跨域通信，在实际部署中，建议根据业务需求逐步调整配置参数，并通过浏览器开发者工具实时验证CORS策略的有效性。