APISIX跨域解决方案的深入解析

January 27, 2024

Technology

ウェブアプリケーション開発において、クロスオリジン問題は一般的なトピックとなっています。しかし、APIゲートウェイの普及により、クロスオリン問題を解決するためのより便利で効率的な方法が提供されるようになりました。APIゲートウェイは、アプリケーションアーキテクチャの重要なコンポーネントとして、リクエストのルーティングやAPI管理などの機能を提供するだけでなく、クロスオリンリクエストを効果的に処理し、開発者がブラウザの同一オリジンポリシーの制限を回避するのを支援します。本記事では、APIゲートウェイであるAPISIXを使用してクロスオリン問題を解決する方法について詳しく説明します。

クロスオリンとは何か？

クロスオリン問題は、主にブラウザが強制する同一オリジンポリシーに起因します。同一オリジンポリシーでは、リクエストの送信元（プロトコル、ドメイン、ポート）がターゲットリソースと完全に一致する必要があります。そうでない場合、ブラウザはリクエストをブロックします。このポリシーは、ユーザーの情報セキュリティを保護し、悪意のあるウェブサイトがデータを盗むのを防ぐことを目的としています。しかし、実際の開発では、フロントエンドとバックエンドの分離や異なるドメインやポートでのデプロイなど、クロスオリン問題が発生するシナリオが頻繁にあります。

APISIXを使用したクロスオリン問題の解決

CORS（クロスオリンリソースシェアリング）

CORS（クロスオリンリソースシェアリング）は、W3C標準であり、ブラウザがクロスオリンサーバーにリクエストを送信できるようにし、同一オリジンポリシーの制限を克服します。APISIXでは、開発者はCORSプラグインを使用して簡単にCORSルールを設定し、どの送信元がリソースにアクセスできるかを指定できます。

APISIXでCORSを設定するためのcurlコマンドの例：

curl http://127.0.0.1:9180/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d ' { "uri": "/hello", "plugins": { "cors": {} }, "upstream": { "type": "roundrobin", "nodes": { "127.0.0.1:8080": 1 } } }'

このコマンドは、curlを使用してAPISIXのAdmin APIにPUTリクエストを送信し、IDが1のルートを作成します。ルートはURIパス/helloで設定され、デフォルト設定でCORSプラグインが有効になっています。また、アップストリームサーバーは127.0.0.1:8080として指定されています。

テストリクエストを実行すると、デフォルト設定の結果が得られます：

curl http://127.0.0.1:9080/hello -v

...
< Server: APISIX web server
< Access-Control-Allow-Origin: *
< Access-Control-Allow-Methods: *
< Access-Control-Allow-Headers: *
< Access-Control-Expose-Headers: *
< Access-Control-Max-Age: 5
...

CORSポリシーを調整する必要がある場合は、関連するプラグイン設定を変更するだけです。以下はいくつかの一般的な設定オプションです：

  • allow_origins: クロスオリンアクセスを許可する送信元を指定します。特定のURLまたはワイルドカード'*'を使用してすべての送信元を許可できます。複数の値はカンマで区切ります。

  • allow_methods: クロスオリンアクセスで許可されるHTTPメソッドを定義します。例えば、GET、POSTなど。複数の値はカンマで区切ります。

  • allow_headers: クロスオリンリクエストでカスタムヘッダーフィールドを許可します。複数の値はカンマで区切ります。

  • expose_headers: クロスオリン応答で公開するカスタムヘッダーフィールドを指定します。複数の値はカンマで区切ります。

  • max_age: ブラウザがCORS応答をキャッシュする最大時間を設定します。

  • allow_credentials: クロスオリンリクエストで認証情報（Cookieなど）を許可するかどうかを決定します。

CORS

注意点

CORSは使いやすいですが、有効にするとセキュリティ問題が発生する可能性があります。これは主に、CORSが同一オリジンポリシーの制限を緩和し、異なる送信元からのリクエストがリソースにアクセスできるようにするためです。

この文脈では、allow_credentialsに特に注意を払う必要があります。allow_credentialsはCORSの重要な設定項目で、クロスオリンリクエストが認証情報を許可するかどうかを決定します。これには、Cookie、HTTP認証情報、またはクライアントSSL証明書などの機密データが含まれます。

デフォルトでは、allow_credentialsは無効になっており、認証情報の許可を許可しません。しかし、CORSが有効で、認証情報の許可が許可されている場合（allow_credentials: true）、特に注意が必要です。これは、他の送信元からのリクエストも保護されたリソースにアクセスできることを意味し、機密操作を実行する可能性があります。例えば、この設定の脆弱性を悪用した悪意のあるウェブサイトは、ユーザーにクロスオリンリクエストを開始させ、セッションCookieを盗んだり、不正な操作を行ったりする可能性があります。

クロスオリンリクエストを有効にする際に潜在的なセキュリティ問題を最小限に抑えるためには、以下のベストプラクティスに従うことをお勧めします：

  1. allow_originを慎重に設定する: allow_originを*（すべての送信元を許可）に設定しないでください。代わりに、許可する送信元を明示的に指定します。
  2. allow_credentialsを制限する: allow_credentialsは必要な場合にのみ有効にし、信頼できる送信元に制限します。
  3. 安全なトランスポートプロトコルを使用する: CORSリクエストがHTTPS経由で送信されるようにし、中間者攻撃を防ぎます。
  4. 検証と認可: バックエンドサーバーで、クロスオリンリクエストに対して適切な検証と認可チェックを実装し、認可されたユーザーのみが機密リソースにアクセスできるようにします。
  5. 安全でないHTTPメソッドを使用しない: クロスオリンリクエストで使用されるHTTPメソッドを制限し、GETやPOSTなどの安全なメソッドのみを許可し、PUTやDELETEなどの潜在的に危険なメソッドを無効にします。

リバースプロキシ

CORSを使用する以外に、APISIXはリバースプロキシとして設定することで、間接的にクロスオリン問題を解決できます。リバースプロキシは一般的なサーバーアーキテクチャパターンで、リバースプロキシサーバーはクライアントとターゲットサーバーの間の仲介役として機能します。クライアントがリクエストを開始すると、これらのリクエストはまずリバースプロキシサーバーに送信され、その後実際のターゲットサーバーに転送されます。処理が完了すると、ターゲットサーバーからの応答がリバースプロキシに返され、最終的にクライアントに渡されます。

リバースプロキシ

リバースプロキシ自体はクロスオリン問題を直接解決するものではありませんが、ブラウザの同一オリジンポリシーの制限を巧みに回避します。クライアントがクロスオリンリクエストを行う必要がある場合、実際にはターゲットサーバーに直接リクエストを送信するのではなく、リバースプロキシサーバーに送信します。リバースプロキシサーバーとターゲットサーバーは通常、同じネットワーク環境または設定にあるため、それらの通信は同一オリジンポリシーの制限を受けません。これにより、リバースプロキシサーバーはクライアントのリクエストを自由にターゲットサーバーに転送し、応答をクライアントに返すことができ、間接的にクロスオリンアクセスを実現します。

APISIXはAPIゲートウェイとして、クライアントとサーバーの間に配置されるため、小規模なアプリケーションでは、クライアントアプリケーションとAPISIXを同じドメインにデプロイし、クライアントのリクエストアドレスをAPISIXサービスのアドレスに変更することで、クライアントがAPISIXにスムーズにアクセスできるようにします。これにより、リバースプロキシ機能を活用してクライアントにクロスオリンアクセスを提供できます。また、他のプラグインと組み合わせて、通信プロセスの安全性と信頼性を確保することもできます。

結論

本記事では、APISIXを使用してクロスオリン問題を解決する方法について、CORSとリバースプロキシの2つの方法に焦点を当てて説明しました。CORSプラグインを適切に設定することで、ブラウザの同一オリジンポリシーの制限を緩和し、クロスオリンリクエストがリソースにアクセスできるようにします。一方、リバースプロキシは仲介役として機能し、ブラウザの同一オリジンポリシーを回避してクロスオリンアクセスを容易にします。それぞれの方法には利点があり、適切な解決策の選択は特定の要件に依存します。CORSまたはリバースプロキシを使用するかどうかにかかわらず、APISIXは柔軟で強力な機能を提供し、開発者がシームレスにクロスオリン問題を解決し、アプリケーションの正常な動作とユーザーエクスペリエンスを確保するのを支援します。

Tags:
APISIX Basics
CORS