Amazon Simple Storage Service
开发人员指南 (API Version 2006-03-01)
AWS 服务或AWS文档中描述的功能,可能因地区/位置而异。点 击 Getting Started with Amazon AWS to see specific differences applicable to the China (Beijing) Region.

跨源资源共享 (CORS)

跨源资源共享 (CORS) 定义了在一个域中加载的客户端 Web 应用程序与另一个域中的资源交互的方式。Amazon S3 中的 CORS 支持让您可以使用 Amazon S3 构建丰富的客户端 Web 应用程序,同时让您可以选择性地允许跨源访问您的 Amazon S3 资源。

本部分提供 CORS 概述。副主题介绍您如何通过使用 Amazon S3 控制台或以编程方式使用 Amazon S3 REST API 和 AWS 开发工具包来启用 CORS。

跨源资源共享:使用案例场景

以下是有关使用 CORS 的示例场景:

  • 场景 1:假设您在名为 website 的 Amazon S3 存储桶中托管网站 (如在 Amazon S3 上托管静态网站中所述)。您的用户加载了网站终端节点 http://website.s3-website-us-east-1.amazonaws.com。现在,您想要使用存储的网页上 (存储在此存储桶中) 的 JavaScript,以使用该存储桶的 Amazon S3 API 终端节点 website.s3.amazonaws.com 向同一存储桶发送经身份验证的 GET 和 PUT 请求。浏览器通常会阻止 JavaScript 允许这些请求,但借助 CORS,您可以配置您的存储桶以显式支持来自 website.s3-website-us-east-1.amazonaws.com 的跨源请求。

  • 场景 2:假设您想要托管来自您的 S3 存储桶的 Web 字体。浏览器会再次要求对正在加载的 Web 字体进行 CORS 检查 (也称为预检),因此您应该配置托管此 Web 字体的存储桶以允许任意源发送这些请求。

如何在我的存储桶上配置 CORS?

要将您的存储桶配置为允许跨源请求,您可以创建一个 CORS 配置,即一个 XML 文档,其中包含一些规则,它们能够识别您允许访问存储桶的源、每个源支持的操作 (HTTP 方法),以及其他特定操作的信息。

您可以向配置添加最多 100 条规则。通过编程方式或者使用 控制台将 XML 文档作为 cors 子资源 添加到存储桶 Amazon S3。有关更多信息,请参阅 允许跨源资源共享 (CORS)

您可以使用自己的域 (例如 example1.com) 提供内容,而不是通过使用 Amazon S3 网站终端节点来访问网站。有关如何使用您自己的域的信息,请参阅示例:使用自定义域设置静态网站。以下示例 cors 配置具有三个规则,这些规则被指定为 CORSRule 元素:

  • 第一个规则允许来自 https://www.example1.com 源的跨源 PUT、POST 和 DELETE 请求。该规则还通过 Access-Control-Request-Headers 标头允许预检 OPTIONS 请求中的所有标头。作为对任何预检 OPTIONS 请求的响应,Amazon S3 将返回请求的任意标头。

  • 第二个规则允许与第一个规则具有相同的跨源请求,但第二个规则应用于另一个源 https://www.example2.com

  • 第三个规则允许来自所有源的跨源 GET 请求。“*”通配符字符是指所有的源。

Copy
<CORSConfiguration> <CORSRule> <AllowedOrigin>http://www.example1.com</AllowedOrigin> <AllowedMethod>PUT</AllowedMethod> <AllowedMethod>POST</AllowedMethod> <AllowedMethod>DELETE</AllowedMethod> <AllowedHeader>*</AllowedHeader> </CORSRule> <CORSRule> <AllowedOrigin>http://www.example2.com</AllowedOrigin> <AllowedMethod>PUT</AllowedMethod> <AllowedMethod>POST</AllowedMethod> <AllowedMethod>DELETE</AllowedMethod> <AllowedHeader>*</AllowedHeader> </CORSRule> <CORSRule> <AllowedOrigin>*</AllowedOrigin> <AllowedMethod>GET</AllowedMethod> </CORSRule> </CORSConfiguration>

CORS 配置还允许可选的配置参数,如下面的 CORS 配置所示。在本示例中,下面的 CORS 配置允许来自 http://www.example.com 源的跨源 PUT、POST 和 DELETE 请求。

Copy
<CORSConfiguration> <CORSRule> <AllowedOrigin>http://www.example.com</AllowedOrigin> <AllowedMethod>PUT</AllowedMethod> <AllowedMethod>POST</AllowedMethod> <AllowedMethod>DELETE</AllowedMethod> <AllowedHeader>*</AllowedHeader> <MaxAgeSeconds>3000</MaxAgeSeconds> <ExposeHeader>x-amz-server-side-encryption</ExposeHeader> <ExposeHeader>x-amz-request-id</ExposeHeader> <ExposeHeader>x-amz-id-2</ExposeHeader> </CORSRule> </CORSConfiguration>

上述配置中的 CORSRule 元素包括以下可选元素:

  • MaxAgeSeconds - 指定在 Amazon S3 针对特定资源的预检 OPTIONS 请求做出响应后,浏览器缓存该响应的时间 (以秒为单位) (在本示例中,为 3000 秒)。通过缓存响应,在需要重复原始请求时,浏览器无需向 Amazon S3 发送预检请求。

  • ExposeHeader – 识别可允许客户从应用程序 (例如,从 JavaScript XMLHttpRequest 对象) 进行访问的响应标头 (在本示例中,为 x-amz-server-side-encryptionx-amz-request-idx-amz-id-2)。

AllowedMethod 元素

在 CORS 配置中,您可以为 AllowedMethod 元素指定以下值。

  • GET

  • PUT

  • POST

  • DELETE

  • HEAD

AllowedOrigin 元素

AllowedOrigin 元素中,指定要允许从其发送跨源请求的源,例如 http://www.example.com。源字符串可包含至少一个 * 通配符字符,例如 http://*.example.com。您可以选择将 * 指定为源,以允许所有源发送跨源请求。您还可以指定 https 只允许安全的源。

AllowedHeader 元素

AllowedHeader 元素通过 Access-Control-Request-Headers 标头指定预检请求中允许哪些标头。Access-Control-Request-Headers 标头中的每个标头名称必须匹配规则中的相应条目。Amazon S3 将仅发送请求的响应中允许的标头。有关可以在发送至 Amazon S3 的请求中使用的标头示例列表,请参阅 Amazon Simple Storage Service API Reference 指南中的常用请求标头

规则中的每个 AllowedHeader 字符串可以包含至少一个 * 通配符字符。例如,<AllowedHeader>x-amz-*</AllowedHeader> 将允许所有特定于 Amazon 的标头。

ExposeHeader 元素

每个 ExposeHeader 元素标识您希望客户能够从其应用程序 (例如,从 JavaScript XMLHttpRequest 对象) 进行访问的响应标头。有关常用 Amazon S3 响应标头的列表,请参阅 Amazon Simple Storage Service API Reference 指南中的常用响应标头

MaxAgeSeconds 元素

MaxAgeSeconds 元素指定在预检请求被资源、HTTP 方法和源识别之后,浏览器将为预检请求缓存响应的时间 (以秒为单位)。

Amazon S3 如何评估针对存储桶的 CORS 配置?

Amazon S3 收到来自浏览器的预检请求后,它将为存储桶评估 CORS 配置,并使用第一个匹配传入浏览器请求的 CORSRule 规则来实现跨源请求。要使规则实现匹配,必须满足以下条件:

  • 请求的 Origin 标头必须匹配 AllowedOrigin 元素。

  • 预检 OPTIONS 请求中的请求方法 (例如,GET 或 PUT) 或 Access-Control-Request-Method 标头必须是某个 AllowedMethod 元素。

  • 在预检请求中,请求的 Access-Control-Request-Headers 标头中列出的每个标头必须匹配 AllowedHeader 元素。

注意

使存储桶允许 CORS 后,ACL 和策略仍适用。