跨源资源共享 (CORS) 定义了在一个域中加载的客户端 Web 应用程序与另一个域中的资源交互的方式。利用 CORS 支持,您可以使用 Amazon S3 构建丰富的客户端 Web 应用程序,同时可以选择性地允许跨源访问您的 Amazon S3 资源。

本部分提供 CORS 概述。副主题介绍如何通过使用 Amazon S3 控制台或以编程方式使用 Amazon S3 REST API 和 AWS 开发工具包来启用 CORS。

主题

跨源资源共享:使用案例场景

如何在我的存储桶上配置 CORS?

Amazon S3 如何评估针对存储桶的 CORS 配置?

允许跨源资源共享 (CORS)

排查 CORS 问题

跨源资源共享:使用案例场景

以下是有关使用 CORS 的示例场景。

方案 1

假设您在名为 website 的 Amazon S3 存储桶中托管网站(如在 Amazon S3 上托管静态网站中所述)。您的用户加载了网站终端节点。

http://website.s3-website.us-east-1.amazonaws.com

现在,您想要使用此存储桶中存储的网页上的 JavaScript,以便能够使用该存储桶的 Amazon S3 API 终端节点 website.s3.us-east-1.amazonaws.com 向同一存储桶发出经身份验证的 GET 和 PUT 请求。浏览器通常会阻止 JavaScript 允许这些请求,但借助 CORS,您可以配置您的存储桶以显式支持来自 website.s3-website.us-east-1.amazonaws.com 的跨源请求。

方案 2

假设您想要托管来自您的 S3 存储桶的 Web 字体。浏览器会再次要求对正在加载的 Web 字体进行 CORS 检查 (也称为预检)。您可以配置托管 Web 字体的存储桶,以允许任何源发出这些请求。

如何在我的存储桶上配置 CORS?
要将您的存储桶配置为允许跨源请求,您可以创建一个 CORS 配置,该配置是一个 XML 文档,其中包含一些规则,它们能够识别您允许访问存储桶的源、每个源支持的操作 (HTTP 方法) 以及其他特定于操作的信息。

您可以向配置添加最多 100 条规则。通过编程方式或使用 Amazon S3 控制台将 XML 文档作为 cors 子资源添加到存储桶。有关更多信息,请参阅 允许跨源资源共享 (CORS)

您可以使用自己的域(例如 example1.com)提供内容,而不是通过使用 Amazon S3 网站终端节点来访问网站。有关如何使用您自己的域的信息,请参阅使用注册到 Route 53 的自定义域配置静态网站。以下示例 cors 配置具有三个规则,这些规则被指定为 CORSRule 元素:

第一个规则允许来自 http://www.example1.com 源的跨源 PUT、POST 和 DELETE 请求。该规则还通过 Access-Control-Request-Headers 标头允许预检 OPTIONS 请求中的所有标头。作为对预检 OPTIONS 请求的响应,Amazon S3 将返回请求的标头。

第二个规则允许与第一个规则具有相同的跨源请求,但第二个规则应用于另一个源 http://www.example2.com。

第三个规则允许来自所有源的跨源 GET 请求。* 通配符将引用所有源。

<CORSConfiguration>
 <CORSRule>
   <AllowedOrigin>http://www.example1.com</AllowedOrigin>

   <AllowedMethod>PUT</AllowedMethod>
   <AllowedMethod>POST</AllowedMethod>
   <AllowedMethod>DELETE</AllowedMethod>

   <AllowedHeader>*</AllowedHeader>
 </CORSRule>
 <CORSRule>
   <AllowedOrigin>http://www.example2.com</AllowedOrigin>

   <AllowedMethod>PUT</AllowedMethod>
   <AllowedMethod>POST</AllowedMethod>
   <AllowedMethod>DELETE</AllowedMethod>

   <AllowedHeader>*</AllowedHeader>
 </CORSRule>
 <CORSRule>
   <AllowedOrigin>*</AllowedOrigin>
   <AllowedMethod>GET</AllowedMethod>
 </CORSRule>
</CORSConfiguration>

CORS 配置还允许可选的配置参数,如下面的 CORS 配置所示。在本示例中,CORS 配置允许来自 http://www.example.com 源的跨源 PUT、POST 和 DELETE 请求。

<CORSConfiguration>
 <CORSRule>
   <AllowedOrigin>http://www.example.com</AllowedOrigin>
   <AllowedMethod>PUT</AllowedMethod>
   <AllowedMethod>POST</AllowedMethod>
   <AllowedMethod>DELETE</AllowedMethod>
   <AllowedHeader>*</AllowedHeader>
  <MaxAgeSeconds>3000</MaxAgeSeconds>
  <ExposeHeader>x-amz-server-side-encryption</ExposeHeader>
  <ExposeHeader>x-amz-request-id</ExposeHeader>
  <ExposeHeader>x-amz-id-2</ExposeHeader>
 </CORSRule>
</CORSConfiguration>

上述配置中的 CORSRule 元素包括以下可选元素:

MaxAgeSeconds - 指定在 Amazon S3 针对特定资源的预检 OPTIONS 请求做出响应后,浏览器缓存该响应的时间(以秒为单位,在本示例中为 3000 秒)。通过缓存响应,在需要重复原始请求时,浏览器无需向 Amazon S3 发送预检请求。

ExposeHeader - 识别可让客户从应用程序(例如,从 JavaScript XMLHttpRequest 对象)进行访问的响应标头(在本示例中,为 x-amz-server-side-encryption、x-amz-request-id 和 x-amz-id-2)。

AllowedMethod 元素

在 CORS 配置中,您可以为 AllowedMethod 元素指定以下值。

GET

PUT

POST

DELETE

HEAD

AllowedOrigin 元素

在 AllowedOrigin 元素中,可指定您希望允许从中发送跨源请求的源,例如 http://www.example.com。源字符串只能包含至少一个 * 通配符,例如 http://*.example.com。您可以选择将 * 指定为源,以允许所有源发送跨源请求。您还可以指定 https 只允许安全的源。

AllowedHeader 元素

AllowedHeader 元素通过 Access-Control-Request-Headers 标头指定预检请求中允许哪些标头。Access-Control-Request-Headers 标头中的每个标头名称必须匹配规则中的相应条目。Amazon S3 将仅在响应中发送请求的允许标头。有关可以在发送至 Amazon S3 的请求中使用的标头示例列表,请参阅 Amazon Simple Storage Service API Reference 指南中的常用请求标头。

规则中的每个 AllowedHeader 字符串可以包含至少一个 * 通配符字符。例如,<AllowedHeader>x-amz-*</AllowedHeader> 将允许所有特定于 Amazon 的标头。

ExposeHeader 元素

每个 ExposeHeader 元素标识您希望客户能够从其应用程序 (例如,从 JavaScript XMLHttpRequest 对象) 进行访问的响应标头。有关常用 Amazon S3 响应标头的列表,Amazon Simple Storage Service API Reference指南中的常用响应标头
在这里插入图片描述

MaxAgeSeconds 元素

MaxAgeSeconds 元素指定在预检请求被资源、HTTP 方法和源识别之后,浏览器将为预检请求缓存响应的时间 (以秒为单位)。

Amazon S3 如何评估针对存储桶的 CORS 配置?

Amazon S3 收到来自浏览器的预检请求后,它将为存储桶评估 CORS 配置,并使用第一个匹配传入浏览器请求的 CORSRule 规则来实现跨源请求。要使规则实现匹配,必须满足以下条件:

请求的 Origin 标头必须匹配 AllowedOrigin 元素。

预检 Access-Control-Request-Method 请求中的请求方法 (例如,GET 或 PUT) 或 OPTIONS 标头必须是某个 AllowedMethod 元素。

在预检请求中,请求的 Access-Control-Request-Headers 标头中列出的每个标头必须匹配 AllowedHeader 元素。

.
.
.

参考内容(https://docs.amazonaws.cn/AmazonS3/latest/dev/cors.html)

Logo

亚马逊云科技开发者 Build On 是由亚马逊团队策划、开发者社区联合打造的动手实操系列活动。

更多推荐