Django CORS Headers 终极指南：10个企业级跨域架构设计技巧

Django CORS Headers 终极指南：10个企业级跨域架构设计技巧

【免费下载链接】django-cors-headersDjango app for handling the server headers required for Cross-Origin Resource Sharing (CORS)项目地址: https://gitcode.com/gh_mirrors/dj/django-cors-headers

Django CORS Headers 是一个强大的 Django 应用，专为处理跨域资源共享（CORS）所需的服务器头而设计。它允许你的资源在其他域上被安全访问，是现代 Web 应用架构中不可或缺的组件。本文将分享 10 个企业级跨域架构设计技巧，帮助你快速掌握 Django CORS Headers 的核心功能和最佳实践。

1. 精准配置允许的源：CORS_ALLOWED_ORIGINS

正确配置允许的源是确保跨域安全的第一步。CORS_ALLOWED_ORIGINS设置用于指定允许访问资源的域名列表。

# settings.py CORS_ALLOWED_ORIGINS = [ "https://example.com", "https://sub.example.com", ]

这个设置以前被称为CORS_ORIGIN_WHITELIST，现在仍然可以作为别名使用，但新名称CORS_ALLOWED_ORIGINS具有更高的优先级。一个 Origin 由 URI 方案、主机名和端口组成，或者是特殊值'null'或'file://'。

2. 处理大量子域：CORS_ALLOWED_ORIGIN_REGEXES

当你有大量子域需要允许访问时，使用CORS_ALLOWED_ORIGIN_REGEXES比CORS_ALLOWED_ORIGINS更加实用。

# settings.py CORS_ALLOWED_ORIGIN_REGEXES = [ r"^https://\w+\.example\.com$", ]

这个设置以前被称为CORS_ORIGIN_REGEX_WHITELIST，现在仍然可以作为别名使用，但新名称具有更高的优先级。

3. 限制 CORS 适用的 URL：CORS_URLS_REGEX

通过CORS_URLS_REGEX设置，你可以限制 CORS 头仅发送到特定的 URL 路径。这在你只需要在网站的一部分（如/api/）启用 CORS 时特别有用。

# settings.py CORS_URLS_REGEX = r"^/api/.*$"

4. 配置允许的 HTTP 方法：CORS_ALLOW_METHODS

CORS_ALLOW_METHODS设置用于指定允许的 HTTP 方法。默认情况下，它包含常见的方法如 GET、POST、PUT、PATCH、DELETE、OPTIONS。

# settings.py CORS_ALLOW_METHODS = ( "DELETE", "GET", "OPTIONS", "PATCH", "POST", "PUT", )

5. 配置允许的请求头：CORS_ALLOW_HEADERS

CORS_ALLOW_HEADERS设置用于指定允许的请求头。默认情况下，它包含常见的头如 accept、accept-encoding、authorization、content-type、dnt、origin、user-agent、x-csrftoken、x-requested-with。

# settings.py CORS_ALLOW_HEADERS = ( "accept", "accept-encoding", "authorization", "content-type", "dnt", "origin", "user-agent", "x-csrftoken", "x-requested-with", )

6. 配置暴露的响应头：CORS_EXPOSE_HEADERS

CORS_EXPOSE_HEADERS设置用于指定除了默认安全列表头之外，要暴露给浏览器的额外 HTTP 头。

# settings.py CORS_EXPOSE_HEADERS = ( "content-length", "x-content-type-options", )

7. 配置预检请求的缓存时间：CORS_PREFLIGHT_MAX_AGE

CORS_PREFLIGHT_MAX_AGE设置用于指定预检请求的结果可以被缓存的时间（以秒为单位）。默认值为 86400 秒（24 小时）。

# settings.py CORS_PREFLIGHT_MAX_AGE = 86400 # 24小时

8. 允许跨域请求携带凭据：CORS_ALLOW_CREDENTIALS

当设置CORS_ALLOW_CREDENTIALS为 True 时，允许跨域请求携带 cookies 和 HTTP 认证信息。这在需要进行身份验证的跨域请求中非常重要。

# settings.py CORS_ALLOW_CREDENTIALS = True

9. 允许私有网络请求：CORS_ALLOW_PRIVATE_NETWORK

CORS_ALLOW_PRIVATE_NETWORK设置用于允许来自私有网络的跨域请求。在这种情况下，浏览器会发送额外的 CORS 头access-control-request-private-network，而 OPTIONS 响应必须包含access-control-allow-private-network: true。

# settings.py CORS_ALLOW_PRIVATE_NETWORK = True

10. 避免全局允许所有源：谨慎使用 CORS_ALLOW_ALL_ORIGINS

虽然CORS_ALLOW_ALL_ORIGINS设置可以方便地允许所有源访问你的资源，但这在生产环境中通常是不安全的。一般来说，你应该使用CORS_ALLOWED_ORIGINS或CORS_ALLOWED_ORIGIN_REGEXES来限制允许的源。

# settings.py # 不推荐在生产环境中使用 # CORS_ALLOW_ALL_ORIGINS = True

这个设置以前被称为CORS_ORIGIN_ALLOW_ALL，现在仍然可以作为别名使用，但新名称具有更高的优先级。

总结

Django CORS Headers 提供了丰富的配置选项，使你能够灵活而安全地处理跨域资源共享。通过合理配置这些设置，你可以构建安全、高效的企业级跨域架构。记住，安全始终是首要考虑因素，避免过度宽松的配置，只允许必要的源、方法和头访问你的资源。

要开始使用 Django CORS Headers，你可以通过以下命令克隆仓库：

git clone https://gitcode.com/gh_mirrors/dj/django-cors-headers

然后按照项目文档进行安装和配置，开始构建安全的跨域 Web 应用吧！ 🚀

【免费下载链接】django-cors-headersDjango app for handling the server headers required for Cross-Origin Resource Sharing (CORS)项目地址: https://gitcode.com/gh_mirrors/dj/django-cors-headers