Uso della rete CDN di Azure con CORS

Che cos'è CORS?

CORS (Cross Origin Resource Sharing) è una funzionalità HTTP che consente a un'applicazione Web in esecuzione in un dominio di accedere alle risorse in un altro dominio. Per ridurre il rischio di attacchi tramite script da altri siti, tutti i Web browser moderni implementano una restrizione di sicurezza nota come regola della stessa origine. Tale restrizione impedisce a una pagina Web di chiamare le API in un dominio diverso. CORS offre un modo sicuro per consentire a una origine, ovvero il dominio di origine, di chiamare le API in un'altra origine.

Funzionamento

Esistono due tipi di richieste CORS, le richieste semplici e le richieste complesse.

Per le richieste semplici:

1. Il browser invia la richiesta CORS con un'ulteriore intestazione della richiesta HTTP Origin. Il valore di questa intestazione della richiesta è l'origine che ha gestito la pagina padre, definita come la combinazione di protocollo, dominio e porta. Quando una pagina prova ad accedere da HTTPS://www.contoso.com ai dati di un utente nell'origine fabrikam.com, a tale sito viene inviata l'intestazione di richiesta seguente:

   Origin: https://www.contoso.com

2. Il server potrebbe rispondere con una delle intestazioni seguenti:

   • Un'intestazione Access-Control-Allow-Origin presente nella risposta, per indicare il sito di origine consentito. Ad esempio:

     Access-Control-Allow-Origin: https://www.contoso.com

   • Un codice di errore HTTP, ad esempio 403, se il server non consente la richiesta multiorigine dopo il controllo dell'intestazione Origin

   • Un'intestazione Access-Control-Allow-Origin con un carattere jolly che consente tutte le origini:

     Access-Control-Allow-Origin: *

Per le richieste complesse:

Una richiesta complessa è una richiesta CORS in cui il browser deve inviare una richiesta preliminare, ovvero un probe preliminare, prima di inviare la richiesta CORS effettiva. La richiesta preliminare chiede l'autorizzazione del server perché la richiesta CORS originale possa procedere e si tratta di una richiesta OPTIONS allo stesso URL.

Scenari con caratteri jolly o singola origine

La condivisione CORS sulla rete CDN di Azure funzionerà automaticamente senza configurazioni aggiuntive quando l'intestazione Access-Control-Allow-Origin è impostata sul carattere jolly asterisco (*) o su una singola origine. La rete CDN memorizza nella cache la prima risposta e le richieste successive usano la stessa intestazione.

Se sono state inviate richieste alla rete CDN prima che la condivisione CORS venisse impostata nell'origine, è necessario eliminare il contenuto sull'endpoint e ricaricarlo con l'intestazione Access-Control-Allow-Origin.

Scenari con più origini

Se si desidera autorizzare per CORS uno specifico elenco di origini, le operazioni da eseguire sono più complesse. Il problema si verifica quando la rete CDN memorizza nella cache l'intestazione Access-Control-Allow-Origin per la prima origine CORS. Quando un'origine CORS differente effettua una richiesta successiva, la rete CDN gestisce l'intestazione Access-Control-Allow-Origin memorizzata nella cache, che però non corrisponde. Esistono diversi modi per risolvere il problema.

Profili di rete CDN Standard di Azure

Nella rete CDN di Azure Standard di Microsoft è possibile creare una regola nel motore regole Standard per controllare l'intestazione Origine nella richiesta. Se si tratta di un'origine valida, la regola imposta l'intestazione Access-Control-Allow-Origin con il valore desiderato. In questo caso, l'intestazione Access-Control-Allow-Origin proveniente dal server di origine del file viene ignorata e il motore regole della rete CDN gestisce interamente le origini CORS consentite.

Rete CDN di Azure Premium di Edgio

Usando il motore regole Edgio Premium, è necessario creare una regola per controllare l'intestazione Origine nella richiesta. Se l'origine è valida, la regola imposta l'intestazione Access-Control-Allow-Origin sull'origine indicata nella richiesta. Se l'origine specificata nell'intestazione Origine non è consentita, la regola deve omettere l'intestazione Access-Control-Allow-Origin, che causa il rifiuto della richiesta da parte del browser.

Esistono due modi per risolvere questo problema con il motore regole Premium. In entrambi i casi, l'intestazione Access-Control-Allow-Origin proveniente dal server di origine del file viene ignorata e il motore regole della rete CDN gestisce interamente le origini CORS consentite.

Un'espressione regolare con tutte le origini valide

In questo caso viene creata un'espressione regolare che include tutte le origini che si desidera consentire:

https?:\/\/(www\.contoso\.com|contoso\.com|www\.microsoft\.com|microsoft.com\.com)$

Se l'espressione regolare corrisponde, la regola specificata sostituisce l'intestazione Access-Control-Allow-Origin (se presente) proveniente dall'origine con l'origine che ha inviato la richiesta. È inoltre possibile aggiungere altre intestazioni CORS, ad esempio Access-Control-Allow-Methods.

Regola intestazione richiesta per ciascuna origine.

Anziché usare espressioni regolari, è possibile creare una regola separata per ogni origine che si vuole consentire usando Request Header Wildcard (Carattere jolly intestazione richiesta) come condizione di corrispondenza. Come per il metodo delle espressioni regolari, il motore regole imposta le intestazioni CORS.