按照等保要求，跨域的不安全性，需要修复。
这个需要根据客户端传递的请求头中的Origin值，进行安全的跨站策略配置，目的是对非法的origin直接返回403错误页面。
漏洞复现
复现方式为在%20Header%20中指定%20Origin%20请求头，看是否可以请求成功。
能够请求成功，说明未对请求头进行控制，有漏洞。
curl-H'Origin:http://test.com'http://192.168.15.32:80
修复办法
在http中定义一个通过map指令，定义跨域规则并返回是否合法
http%20{ %20%20%20%20... %20%20%20%20//%20再白名单里边返回0，不在返回1 %20%20%20%20map%20$http_origin%20$allow_cors%20{ %20%20%20%20%20%20%20%20default%201; %20%20%20%20%20%20%20%20"~^https?://.*?\.tripwolf\.com.*$"%201; %20%20%20%20%20%20%20%20"~^(https?://(dmp.finerice.cn)?)$"%201; %20%20%20%20%20%20%20%20"~*"%200; %20%20%20%20} %20%20%20%20server%20{ %20%20%20%20%20%20%20%20#%20指定允许其他域名访问%20%20%20%20%20%20%20%20 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Origin%20$http_origin; %20%20%20%20%20%20%20%20#%20允许的请求类型 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Methods%20GET,POST,OPTIONS; %20%20%20%20%20%20%20%20#%20许的请求头字段 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Headers%20"Origin,%20X-Requested-With,%20Content-Type,%20Accept"; %20%20%20%20%20%20%20%20location%20/%20{ %20%20%20%20%20%20%20%20%20%20%20%20#%20进行请求拦截 %20%20%20%20%20%20%20%20%20%20%20%20if%20($allow_cors%20=%200){ %20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20return%20403; %20%20%20%20%20%20%20%20%20%20%20%20} %20%20%20%20%20%20%20%20%20%20%20%20root%20/mnt/data; %20%20%20%20%20%20%20%20} %20%20%20%20} }
验证方法
通过POSTMAN进行请求模拟，配置不同的Origin，查看返回结果。
如果不需要跨域，则直接清理掉add_headerAccess-Control-Allow-Origin等相关配置，就不这么复杂了。
