CDN是否支持跨域资源请求？跨域支持机制与配置方法详解
在CDN行業打滾這麼多年，經常遇到客戶抱怨網站加載第三方資源時卡住，像是從CDN調用API卻被瀏覽器擋下來。這種跨域請求問題，說穿了就是瀏覽器的安全機制在作怪，它怕惡意腳本偷資料，所以預設不讓不同來源的資源互通。但CDN作為中間人，能不能幫上忙？答案是肯定的，只是得靠正確配置，否則反而拖慢速度或暴露漏洞。
CDN的本質是分散式伺服器網絡，把網站內容快取到全球節點，加速用戶訪問。跨域請求（CORS）則涉及瀏覽器的同源政策，簡單講，如果資源來源不同（像你的主網站在example.com，CDN資源在cdn.example.net），瀏覽器就會檢查CORS頭來決定是否放行。CDN服務商如Cloudflare、Akamai或阿里雲，都內建支援CORS機制，但它不是自動啟用的，得手動設定，否則CDN可能直接忽略這些頭部資訊，讓請求失敗。
跨域支持的機制核心在於CORS頭部，像是Access-Control-Allow-Origin這個關鍵標頭。當瀏覽器發起跨域請求時，會先送一個OPTIONS預檢請求給CDN，CDN得回應允許哪些來源（如指定域名或*表示所有）。CDN的作用是代理這些請求，所以它能修改或添加這些頭部。舉個實例，Cloudflare的Edge Workers可以動態生成CORS頭，根據請求來源調整，避免安全風險；Akamai則透過Property Manager配置規則，直接在CDN層添加頭部，省去後端伺服器的負擔。
配置方法要看各家CDN服務商，但大原則類似。先確認你的CDN支援CORS，多數主流服務都行，像AWS CloudFront得搭配Lambda@Edge來處理。步驟上，先登入CDN控制台，找到頭部管理或規則設定區塊。例如Cloudflare，進Page Rules添加新規則，設定URL模式（如.example.com），然後自訂HTTP頭部，鍵入Access-Control-Allow-Origin並值設為允許的域名（別偷懶用，除非是公開API）。安全起見，加上Access-Control-Allow-Methods和Access-Control-Allow-Headers來限制HTTP方法和頭部類型。測試時，用瀏覽器開發者工具檢查Network標籤，確認回應頭有正確CORS資訊，否則會卡在預檢階段。
深度來看，這不只是技術設定，更牽扯效能和資安平衡。配置錯誤常見於忘了處理OPTIONS請求，導致CDN沒回應預檢，結果API調用失敗。或者過度開放CORS（如設*），讓惡意網站能盜用資源，這時得搭配CDN的WAF功能，過濾可疑IP。實戰中，我遇過客戶網站因CDN CORS沒設好，拖累加載速度30%，後來優化規則才恢復。建議定期審計配置，並用工具如curl模擬請求驗證。畢竟CDN加速是好事，但跨域支援搞砸了，反而本末倒置。
評論: