lighttpd服务器向pm2托管Node服务发请求被CORS拦截问题咨询

配置SSL证书是否能解决请求问题 #

可以解决，但需要满足两个前提：

• 部署的SSL证书是浏览器默认信任的有效证书，自签证书需要手动在所有访问端设备导入信任链，否则不会被浏览器判定为安全上下文，拦截规则依然会触发。公网站点可以直接申请免费的可信SSL证书，部署流程非常成熟。
• Node侧的CORS响应头配置准确：除了你已经加上的Access-Control-Allow-Private-Network: true，必须配置和你的站点域名精确匹配的Access-Control-Allow-Origin值，不能用通配符*——私有网络访问（PNA）规范明确不允许通配源通过校验。
  这个报错的核心原因是Chrome 94及以上版本默认启用的PNA安全规则：非安全上下文（即HTTP站点）默认禁止向私有网络地址的资源发起请求，你之前配置的两个PNA相关请求/响应头，只有在请求发起端是HTTPS安全上下文时，浏览器才会进入校验流程，非安全上下文下直接拦截，根本不会走到头校验的步骤。

其他可行解决方案 #

优先选反向代理方案，比配SSL更省事，安全性还更高：

• 在lighttpd里加反向代理规则，把指定路径（比如所有/api开头的请求）转发到本地127.0.0.1:5000的Node服务，同时关掉路由器上5000端口的公网转发，把Node服务的监听地址改成127.0.0.1，不对外暴露。这种模式下浏览器只会向同域的lighttpd发请求，根本不会直接触达私有网络的Node端口，完全不会触发CORS和PNA限制，你之前配的一堆CORS头都可以删掉，同域请求不涉及跨域校验。
  如果只是自己本地开发测试用，可以临时关浏览器的PNA校验：打开Chrome的chrome://flags/#block-insecure-private-network-requests项，把值改成Disabled后重启浏览器就行。这个方法只能自己用，不可能要求所有访问你站点的用户都改浏览器配置，正式环境别用。
  不推荐长期用自签证书+公网暴露Node端口的方案，维护麻烦，安全隐患也多。

部署方案安全性评估 #

你现在的初始方案（HTTP开80端口、直接把5000端口的Node服务暴露到公网）安全性比较差：

• 所有传输内容都是明文，链路上的任意节点都能窃听、篡改传输的数据
• Node服务直接暴露在公网，不管是你写的业务代码有漏洞，还是Node本身、第三方依赖有漏洞，都会直接被公网的自动化扫描器摸到，被入侵的风险高
• 非HTTPS环境下现代浏览器会给站点打“不安全”标记，很多新的Web API也无法调用
  调整成以下配置后，对于低流量个人站点来说安全性完全够用：
• 用lighttpd做反向代理，Node服务只监听本地127.0.0.1地址，不对外暴露端口，公网只开放lighttpd的80、443端口
• 配置可信SSL证书开启HTTPS，同时把80端口的请求全部自动跳转到HTTPS
• 可选装fail2ban之类的工具，自动拦截频繁发起恶意扫描的IP，定期给树莓派系统、lighttpd、Node项目依赖打安全补丁
  个人低流量站点基本不会成为定向攻击目标，只要别犯未授权访问、用弱密码这类低级错误，上面的配置足够用。

内容的提问来源于stack exchange，提问作者Bob Nearents