我的网站支持http和https协议。但是,使用以下代码在.htaccess文件中时,我只能设置一个域名允许CORS请求:
我想知道请求是否已通过https提供,并使用此信息设置正确的CORS标头。类似于这样:
Header set Access-Control-Allow-Origin: http://example.com
我想允许我的网站的http和https版本(而不仅仅是“*”)进行CORS。我尝试了这里的解决方案:
Access-Control-Allow-Origin Multiple Origin Domains?
但问题是所有解决方案都依赖于请求中的Origin标头,该标头可能不存在并且也不安全。(任何人都可以在其请求中放置Origin标头)我想知道请求是否已通过https提供,并使用此信息设置正确的CORS标头。类似于这样:
SetEnvIf servedOverHttps httpsOrigin=true
Header set Access-Control-Allow-Origin: https://example.me env=httpsOrigin
SetEnvIf notServedOverHttps httpOrigin=true
Header set Access-Control-Allow-Origin: http://example.me env=httpOrigin
如何确定这是一个https请求?