NGINXのすべてのドメインにCORS（クロスオリジンポリシー）を追加するにはどうすればよいですか？

Question

静的ファイル（CSS、画像、フォント、JSなど）の配信に使用するフォルダを作成しました。CDNでの使用のために、フォルダを最終的にサブドメインにCNAMEしてMagento 2の設定を行います。

CORS - Cross Origin Policy経由ですべてのドメインにすべてのアクセスを許可したいので、データもキャッシュします。これは私が持っているものです。 （私はJSONP問題に関するセキュリティの提案やヒントを求めていないです - 私は、ファイルのディレクトリへのグローバルアクセスを望んでください）

location /cdn-directory/ { 

    location ~* \.(ico|jpg|jpeg|png|gif|svg|js|css|swf|eot|ttf|otf|woff|woff2|zip|gz|gzip|bz2|csv|xml)$ { 
     add_header Cache-Control "public"; 
     add_header X-Frame-Options "ALLOW-FROM *"; 
     expires +1y; 
    } 

} 

をdocumentationによれば、X-Frame-OptionsがALLOW-FROM uriをサポートしていますが、*（すべてのドメイン）を使用しての例を見ることができないと言いますこのALLOW-FROMに複数のドメインを追加することができます。すべてのドメインに静的ファイルフォルダへのアクセスを許可する必要があります。

Answer 1

location /cdn-directory/ { 

location ~* \.(js|css|swf|eot|ttf|otf|woff|woff2)$ { 
    add_header 'Cache-Control' 'public'; 
    add_header 'X-Frame-Options' 'ALLOW-FROM *'; 
    add_header 'Access-Control-Allow-Origin' '*'; 
    add_header 'Access-Control-Allow-Credentials' 'true'; 
    add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS'; 
    add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type'; 
    expires +1y; 
    } 
} 

http://enable-cors.org/server_nginx.html

Answer 2

私は、私はnginxのそれを試してみたが、現在の要求の発信元を許可するとのtomcatで動作しませんでした：

add_header X-Frame-Options "ALLOW-FROM $http_origin"; 

Answer 3

は、すべてのドメインが（例えば、iframeら以内）のリソースを埋め込むために許可デフォルトは余分なヘッダを必要としない。

X-Frame-Options HTTP応答ヘッダーの唯一の目的は、あなたの意図が実際に有効なディレクティブであるために仮定されていないALLOW-FROM *（であるかのように、このように、外部サイトでiframeに埋め込まれているからインタラクティブなリソースを防ぐためですこのようなヘッダ全体を完全に省略するだけで、誰でもあなたが好きなように任意のドメインの静的リソースに完全かつ適切にアクセスできるようになります。

location /cdn-directory/ { 

    location ~* \.(js|css|swf|eot|ttf|otf|woff|woff2)$ { 
     add_header Cache-Control "public"; 
     add_header Access-Control-Allow-Origin: * 
     expires +1y; 
    } 

} 

Answer 4

あなたが実際にCORS（クロスオリジンが共有要求）だけではなくiframe内に埋め込むことをしたいと仮定すると、設定は次のようになりCORentのMagento 1.8.xインストールで次のヘッダーを使用しました。

add_header 'Access-Control-Allow-Origin' "*"; 
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, DELETE, PUT'; 
add_header 'Access-Control-Allow-Credentials' 'true'; 
add_header 'Access-Control-Allow-Headers' 'User-Agent,Keep-Alive,Content-Type'; 

Answer 5

それはやり過ぎかもしれないが、私が持っている：