Flask-SocketIO中通配符子域名的CORS配置方案咨询

1. Socket.IO通配符子域名CORS的最佳方案 #

Flask-SocketIO的cors_allowed_origins支持传入自定义验证函数，这是处理大量子域名最灵活的方案。函数接收请求的origin参数，返回布尔值来决定是否允许跨域，完全替代固定域名列表或全量通配符。

2. 推荐配置方式与替代方案 #

方式一：自定义验证函数（优先推荐） #

统一Flask-CORS和SocketIO的验证逻辑，避免两端规则不一致：

• 用正则匹配验证请求origin是否属于允许的根域名下的任意子域名
• 同时适配Flask-CORS和SocketIO的配置

方式二：Nginx反向代理处理CORS #

如果应用部署在Nginx之后，直接在Nginx层面配置CORS规则更高效，后端无需修改任何代码。这种方式适合多服务共享CORS规则的场景。

3. 可直接复用的验证函数 #

下面是一个开箱即用的函数，支持匹配指定根域名的任意子域名（兼容http/https）：

import re

def validate_origin(origin):
    # 定义允许的根域名规则
    allowed_patterns = [
        r'^https?://.*\.domain\.com$',  # 匹配http/https下的任意domain.com子域名
        r'^https?://.*\.localdomain\.com$'  # 测试环境域名
    ]
    for pattern in allowed_patterns:
        if re.fullmatch(pattern, origin):
            return True
    return False

配套配置代码 #

将函数应用到Flask-CORS和SocketIO：

# Flask-CORS配置
cors = CORS(app, resources={r"/*": {
    "supports_credentials": True,
    "origins": validate_origin
}})

# SocketIO配置
socketio = SocketIO(app, cors_allowed_origins=validate_origin)

Nginx配置示例（替代方案） #

如果用Nginx处理CORS，添加以下规则到你的server块：

server {
    listen 80;
    server_name your-app.com;

    location / {
        # 匹配允许的子域名origin
        if ($http_origin ~* ^https?://.*\.(domain\.com|localdomain\.com)$) {
            add_header Access-Control-Allow-Origin $http_origin;
            add_header Access-Control-Allow-Credentials 'true';
            add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS, PUT, DELETE';
            add_header Access-Control-Allow-Headers 'Content-Type, Authorization';
        }

        # 预请求直接返回204
        if ($request_method = OPTIONS) {
            return 204;
        }

        proxy_pass http://127.0.0.1:5000;  # 指向你的Flask应用地址
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }
}

内容的提问来源于stack exchange，提问作者martanezo7