为了实现CORS（Cross-Origin Resource Sharing）策略来限制哪些域可以访问你的WordPress API，你可以使用插件或者手动编辑WordPress的主题文件来达到目的。下面我将分别介绍这两种方法：
使用插件实现CORS策略
最简单的做法是使用插件，因为它们通常提供了用户友好的界面来配置CORS设置。这里推荐使用“WP REST API CORS”插件，这是一个专门为WordPress REST API设计的CORS插件。下面是安装和配置该插件的步骤：
-
安装插件:
- 登录到WordPress后台。
- 前往“插件” > “添加新”。
- 搜索“WP REST API CORS”，找到合适的插件并安装激活。
-
配置插件:
- 激活插件后，在WordPress后台菜单中找到“REST API CORS”选项。
- 在CORS设置页面中，你可以配置允许的源、请求方法、是否允许凭据等。
- 允许的源可以指定为特定的域名或者使用通配符（例如
*.example.com）。
手动编辑实现CORS策略
如果你不想使用插件，也可以手动编辑WordPress的主题文件来实现CORS策略。这通常涉及到在你的主题的functions.php文件中添加一些PHP代码来处理CORS头。
-
编辑
functions.php:- 登录到WordPress后台。
- 前往“外观” > “主题编辑器”。
- 找到当前使用的主题，选择
functions.php文件进行编辑。
-
添加CORS处理函数:
- 在
functions.php文件中添加以下代码：
- 在
// 添加CORS处理
function wpse_cors() {
global $allowed_origins; // 定义允许的来源
$allowed_origins = ['http://example.com', 'https://another.example.com'];
// 设置允许的来源
if (in_array($_SERVER['HTTP_ORIGIN'], $allowed_origins)) {
header("Access-Control-Allow-Origin: {$_SERVER['HTTP_ORIGIN']}");
header('Access-Control-Allow-Credentials: true');
}
// 设置允许的HTTP方法
header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE');
// 设置允许的HTTP头部
header('Access-Control-Allow-Headers: Authorization, Content-Type, X-Requested-With, X-HTTP-Method-Override');
// 如果是预检请求，直接返回200状态码
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
http_response_code(200);
exit();
}
}
// 注册CORS处理函数
add_action('init', 'wpse_cors');
这段代码首先定义了一个数组$allowed_origins，其中包含了允许访问API的域名。然后，它检查请求的来源是否在这个列表中。如果是，则设置相应的CORS头。此外，它还设置了允许的HTTP方法和头部，并且对于预检请求（OPTIONS方法），它直接返回200状态码。
nginx配置实现CORS策略
通过Nginx配置，你可以实现CORS策略的效果来限制哪些域可以访问你的WordPress API。以下是具体的步骤和示例配置。
步骤1: 编辑Nginx配置文件
首先，你需要找到Nginx的站点配置文件。通常，这些文件位于/etc/nginx/sites-available/目录下，并且链接到/etc/nginx/sites-enabled/目录。例如，如果你的WordPress站点名为example.com，那么配置文件可能是/etc/nginx/sites-available/example.com。
打开该文件进行编辑：
sudo nano /etc/nginx/sites-available/example.com
步骤2: 添加CORS配置
在配置文件中找到与你的WordPress站点相关的server块。在这个server块内，你需要添加一个location块来处理CORS请求。
这里是一个例子：
server {
listen 80;
server_name example.com www.example.com;
# 其他配置...
location / {
# 其他配置...
# 添加CORS支持
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' '*';
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain charset=UTF-8';
add_header 'Content-Length' 0;
return 204;
}
proxy_pass http://localhost:8080; # 假设WordPress运行在8080端口
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_redirect off;
# 限制访问的域
if ($http_origin ~* "^http(s)?://(www\.)?example\.com$") {
add_header 'Access-Control-Allow-Origin' $http_origin;
add_header 'Access-Control-Allow-Credentials' 'true';
} else {
return 403;
}
}
# 其他location配置...
}
注意事项
-
允许的源:
- 在上面的配置中，我们仅允许
example.com和www.example.com这两个域访问API。你可以根据需要修改正则表达式来允许或拒绝特定的源。 - 如果你想允许所有源，可以将正则表达式替换为
"^.*$"，但要注意这会降低安全性。
- 在上面的配置中，我们仅允许
-
CORS预检请求:
- 上面的配置中有一个专门处理
OPTIONS请求的部分，用于处理CORS预检请求。
- 上面的配置中有一个专门处理
-
其他配置:
- 请确保你的
proxy_pass指令指向正确的地址，通常是指向WordPress所在的服务器地址和端口。
- 请确保你的
-
HTTPS:
- 如果你的站点使用HTTPS，确保将
listen指令改为listen 443 ssl，并配置SSL证书。
- 如果你的站点使用HTTPS，确保将
步骤3: 测试和重启Nginx
修改完配置文件后，你需要测试Nginx的配置是否正确，然后重启Nginx服务使更改生效。
测试配置：
sudo nginx -t
如果一切正常，你会看到类似这样的输出：
nginx: configuration file /etc/nginx/nginx.conf test is successful
重启Nginx服务：
sudo systemctl restart nginx
步骤4: 验证配置
现在，你可以尝试从允许的域访问API，以确认配置是否正确工作。
-
从允许的域访问（应该成功）：
curl -H "Origin: http://example.com" http://example.com/wp-json/wp/v2/posts -
从不允许的域访问（应该失败）：
```bash
curl -H "Origin: http://unauthorized-domain.com" http://example.com/wp-json/wp/v2/posts
注意事项
- 安全性：确保只允许可信的域名访问你的API。
- 测试：在部署到生产环境之前，请先在本地或开发环境中彻底测试这些更改。
- 性能：CORS头的设置可能会影响性能，尤其是当涉及到多个域时。
当前文章价值7.99元，扫一扫支付后添加微信提供帮助！（如不能解决您的问题，可以申请退款）
评论已关闭！