webApi 2中的子域CORS

Question

我正在使用WebApi，就像我从 html" target="_blank">http://t.co/mt9wIL8gLA 那里学到的那样

如果我确切地知道客户请求的完美来源 URI，那么一切都会很好用。太糟糕了，我正在编写一个企业级 API，所以我的要求是，比如说 http://apps.contoso.com/myApp/api/foobar

可能来自我所在领域的所有应用，比如说:

http://apps.contoso.com/CRMApp

http://apps.contoso.com/XYZ

http://www.contoso.com/LegacyApp

http://test.contoso.com/newApps/WowApp...以及我的企业开发的所有新应用。

最好的方法是什么？使用< code>Origins="*"很俗气，将Origins添加到我的WS source和redeploy更俗气。

我目前的解决方案是编写一个自定义的CorsPolicyAttribute，如http://www . ASP . net/we b-API/overview/security/enabling-cross-origin-requests-in-we b-API # CORS-policy-providers中所示

并从web.config中的appsettings读取允许的起源。更好的方法是，在自定义属性中，检查请求Origin: header是否来自contoso.com，可能使用regexp，并将其添加到允许的起源中。

我想知道是否有更好、更标准的方法。

Answer 1

我最终只编写了AuthorizationFilterAttribute，尽管我可能只编写了一个常规的FilterAttribute。

public class FilterReferals : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        var request = actionContext.Request;

        if (!AllowedReferers.GetAllowedReferersList().Contains(request.Headers.Referrer?.Host.ToLower()))
        {
            Challenge(actionContext);
            return;
        }

        base.OnAuthorization(actionContext);
    }

    void Challenge(HttpActionContext actionContext)
    {
        var host = actionContext.Request.RequestUri.DnsSafeHost;
        actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
        actionContext.Response.Headers.Add("WWW-Authenticate", string.Format("Basic realm=\"{0}\"", host));
    }
}

Answer 2

使用DynamicPolicyProviderFactory。这就是我所使用的……我甚至在前几天发布了一个关于它的问题，这类问题展示了如何将允许的域添加到网络中。配置文件。