Apache中如何配置CORS支持跨域请求实例？

在Web开发中,跨域资源共享（CORS）是一个常见的需求，当前端应用与后端服务部署在不同域名或端口时，浏览器会因同源策略限制发起跨域请求，Apache作为广泛使用的Web服务器，通过配置模块可以灵活支持CORS，本文将详细介绍Apache中配置CORS的实例及注意事项。

启用mod_headers模块

Apache的CORS配置主要依赖mod_headers模块，该模块用于管理HTTP头信息，首先需要确保模块已启用，通过以下命令检查：

apache2ctl -M | grep headers

若未启用,在Ubuntu/Debian系统中可通过以下命令启用：

sudo a2enmod headers

启用后重启Apache服务使配置生效：

sudo systemctl restart apache2

基础CORS配置示例

在虚拟主机配置文件（如/etc/apache2/sites-available/000-default.conf）或.htaccess文件中添加以下配置：

<IfModule mod_headers.c>
    # 允许所有域名跨域访问（生产环境建议指定具体域名）
    Header always set Access-Control-Allow-Origin "*"
    # 允许的请求方法
    Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
    # 允许的请求头
    Header always set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"
    # 预检请求的有效期（单位：秒）
    Header always set Access-Control-Max-Age "86400"
    # 允许携带凭证（如Cookie）
    Header always set Access-Control-Allow-Credentials "true"
</IfModule>

针对不同域名的精细化配置

当需要为不同域名设置差异化CORS策略时,可使用mod_setenvif模块结合条件判断：

<IfModule mod_headers.c>
    <If "%{HTTP_ORIGIN} == 'https://example.com'">
        Header always set Access-Control-Allow-Origin "https://example.com"
    </If>
    <ElseIf "%{HTTP_ORIGIN} == 'https://sub.example.com'">
        Header always set Access-Control-Allow-Origin "https://sub.example.com"
    </ElseIf>
    <Else>
        Header always set Access-Control-Allow-Origin "null"
    </Else>
</IfModule>

处理预检请求（OPTIONS方法）

预检请求是浏览器发送的跨域前验证请求,需确保Apache正确响应，可通过以下配置为特定路径启用OPTIONS方法：

<Directory "/var/www/api">
    <IfModule mod_headers.c>
        Header always set Access-Control-Allow-Methods "OPTIONS, GET, POST"
        Header always set Access-Control-Allow-Headers "Content-Type"
    </IfModule>
    # 确保OPTIONS方法不被禁止
    <LimitExcept GET POST>
        Require all denied
    </LimitExcept>
</Directory>

常见配置问题与解决方案

在实际配置中,可能会遇到以下问题：

生产环境安全建议

1. 限制允许的域名：避免使用，明确指定可信域名
2. 控制允许的HTTP方法：仅开放业务必需的请求方法
3. 启用日志监控：通过CustomLog记录CORS相关请求，便于排查问题
4. 结合HTTPS：在跨域请求中启用TLS，防止中间人攻击

通过以上配置,Apache可以有效支持CORS，实现前后端分离架构下的安全跨域通信，在实际部署中，建议根据业务需求逐步调整配置参数，并通过浏览器开发者工具实时验证CORS策略的有效性。