问题

Question

我公司正在处理的Zend Expressive项目已准备好交付，但是在我们的暂存环境中，我们似乎缺少CORS飞行前请求的响应标头。这在我们的开发环境中不会发生。我们正在管道中使用CorsMiddleware，但看起来中间件并不是罪魁祸首。

问题

在运行时，中间件检测到传入的飞行前请求，并将以如下响应进行回复：

HTTP/1.1 200 OK
Date: Mon, 20 Aug 2018 15:09:03 GMT
Server: Apache
X-Powered-By: PHP/7.1.19
Access-Control-Allow-Origin: https://example.com
Vary: Origin
Access-Control-Allow-Headers: content-type
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html; charset=UTF-8

好吧，这仅适用于我们的开发服务器和php的内置网络服务器。响应与我们的登台服务器不同，即使请求完全相同，除了主机：

HTTP/1.1 200 OK
Date: Mon, 20 Aug 2018 15:11:29 GMT
Server: Apache
Keep-Alive: timeout=5, max=100
Cache-Control: max-age=0, no-cache
Content-Length: 0
Content-Type: text/html; charset=UTF-8

我们尝试过的事情

调查中间件

我们已经验证了CorsMiddleware可以完美运行，并且实际上设置了所需的标头。现在，当我们修改CorsMiddleware的响应代码并将其设置为202而不是200时，我们 do 得到了我们要查找的标头。将响应代码改回200会使标题再次消失。

手动设置标题

使用以下示例：

header('Access-Control-Allow-Origin: https://example.com');
header('Access-Control-Allow-Headers: content-type');
header('Vary: Origin');
exit(0);

这具有相同的行为，直到我们将响应代码修改为204或200以外的任何其他内容为止。

看着身体

响应正文为空，不应包含任何内容，但是当我们向响应正文中添加内容时，标题似乎就好像没有错一样。

因此，如果我添加正文内容，则会显示标题。没有身体含量？没有CORS标头。这是Apache中的某些设置吗？我是否缺少PHP中的某些配置？我忘了什么吗？

更多详细信息

所有请求均已通过httpie，Postman，curl和PhpStorm的http客户端进行了测试。

这是httpie示例：

http -v OPTIONS https://staging.****.com \
    'access-control-request-method:POST' \
    'origin:https://example.com' \
    'access-control-request-headers:content-type'

这是curl示例：

curl "https://staging.****.com" \
--request OPTIONS \
--include \
--header "access-control-request-method: POST" \
--header "origin: https://example.com" \
--header "access-control-request-headers: content-type"

pipeline.php中的Cors配置（仅通配符用于测试）：

$app->pipe(new CorsMiddleware([
    "origin"         => [
        "*",
    ],
    "headers.allow"  => ['Content-Type'],
    "headers.expose" => [],
    "credentials"    => false,
    "cache"          => 0,

    // Get list of allowed methods from matched route or provide empty array.
    'methods' => function (ServerRequestInterface $request) {
        $result = $request->getAttribute(RouteResult::class);
        /** @var \Zend\Expressive\Router\Route $route */
        $route = $result->getMatchedRoute();

        return $route ? $route->getAllowedMethods() : [];
    },

    // Respond with a json response containing the error message when the CORS check fails.
    'error'   => function (
        ServerRequest $request,
        Response $response,
        $arguments
    ) {
        $data['status']  = 'error';
        $data['message'] = $arguments['message'];

        return $response->withHeader('Content-Type', 'application/json')
                        ->getBody()->write(json_encode($data));
    },
]);

登台环境：

OS: Debian 9.5 server
Webserver: Apache/2.4.25 (Debian) (built: 2018-06-02T08:01:13)
PHP: PHP 7.1.20-1+0~20180725103315.2+stretch~1.gbpd5b650 (cli) (built: Jul 25 2018 10:33:20) ( NTS )

Apache2虚拟主机暂存：

<IfModule mod_ssl.c>
<VirtualHost ****:443>
        ServerName staging.****.com
        DocumentRoot /var/www/com.****.staging/public

        ErrorLog /var/log/apache2/com.****.staging.error.log
        CustomLog /var/log/apache2/com.****.staging.access.log combined
        <Directory /var/www/com.****.staging>
                Options +SymLinksIfOwnerMatch
                AllowOverride All
                Order allow,deny
                allow from all
        </Directory>
SSLCertificateFile /etc/letsencrypt/live/staging.****.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/staging.****.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>

正在开发的Apache2虚拟主机：

<VirtualHost *:443>
        ServerName      php71.****.com
        ServerAdmin     dev@****.com
        DocumentRoot    /var/www/

        <Directory /var/www/>
                Options Indexes FollowSymlinks
                AllowOverride All
                Require all granted
        </Directory>

        ErrorLog        ${APACHE_LOG_DIR}/error.ssl.log
        CustomLog       ${APACHE_LOG_DIR}/access.ssl.log combined

        SSLEngine On
        SSLCertificateFile /etc/ssl/certs/****.crt
        SSLCertificateKeyFile /etc/ssl/certs/****.key
</VirtualHost>

向每个手指指着Cloudflare的人：

尝试使用httpie进行此直接链接。此链接未使用cloudflare：

http -v OPTIONS http://37.97.135.33/cors.php \
    'access-control-request-method:POST' \
    'origin:https://example.com' \
    'access-control-request-headers:content-type'

在浏览器中检查源代码：http://37.97.135.33/cors.php?source=1

Answer 1

从我在此处阅读的所有内容（包括您的评论）看来，您的“生产”服务器似乎更像是CloudFlare代理。您已经提供了有关工作开发环境的详细信息，但没有提供有关非工作生产环境的信息。

您的设置似乎是正确的，并且如果在没有PROXY的开发设置上可以正常工作，则表示PROXY正在修改标题。

有关CloudFlare的快速搜索已充分表明CloudFlare可能是造成问题的原因。

我强烈建议您在CloudFlare中启用“开发模式”，这样它将绕过缓存，并且您可以看到一切即将进入/进入原始服务器。

以下文章应帮助您了解并解决问题：

https://support.cloudflare.com/hc/en-us/articles/203063414-Why-can-t-I-see-my-CORS-headers-

更新：

您的问题似乎来自Apache Mod Pagespeed，通过将其关闭可以始终显示标题。

目前还不清楚国防部为何要剥夺你的头，但这是另一个问题和时间。

Answer 2

您的配置清楚地表明确实生成了标头，因此这不是代码或中间件的错误。

我相信标头会被某些东西删除-检查Apache的mod_headers和配置，以防出现流氓unset指令。

另一种不太可能的可能性是，您正在通过某种负载平衡器或代理来查看登台服务器，该服务器将重写标头并保留CORS（以验证，您可能需要拦截Apache的传出流量）。

我自己犯了两个错误。

Answer 3

请确保您在Zend Expressive中具有正确的配置。例如，下面的代码将允许CORS访问任何呼叫域

use Psr\Http\Message\ServerRequestInterface;
use Tuupola\Middleware\CorsMiddleware;
use Zend\Expressive\Router\RouteResult;

$app->pipe(new CorsMiddleware([
    "origin" => ["*"],
    "methods" => ["GET", "POST", "PUT", "PATCH", "DELETE"]
}
]));

来自PHP / Apache2

问题