Reverse Proxy
Пастаўце Fluxheim перад application server. Fluxheim апрацоўвае TLS, headers, limits і upstream selection.
Basic proxy
[[vhosts]]
name = "app"
hosts = ["app.example.com"]
[[vhosts.routes]]
path_prefix = "/"
action = "proxy"
upstreams = ["127.0.0.1:3000"]Варіанти маршрутизації
| Можливість | Выкарыстоўвайце, коли |
|---|---|
path_exact | Адзін URL патрабуе дакладнай route. |
path_prefix | Цэлае URL-паддрэва ідзе да аднаго backend. |
strip_prefix | Backend не павінен бачыць публічны prefix. |
rewrite_prefix | Backend чакае іншы internal prefix. |
methods | Маршрут павінен прымаць толькі выбраныя HTTP-метады. |
Приклад path rewrite
[[vhosts.routes]]
name = "api"
path_prefix = "/api/"
strip_prefix = "/api/"
rewrite_prefix = "/internal/"
[vhosts.routes.proxy]
upstreams = ["10.0.0.20:8080"]
connect_timeout_secs = 5
read_timeout_secs = 30
send_timeout_secs = 30CORS для браўзерных праграм
Уключайце CORS толькі тады, калі праграмы браўзера з вядомымі крыніцамі павінны выклікаць гэты маршрут.
[headers.cors]
enabled = true
allow_origins = ["https://app.example.com"]
allow_methods = ["GET", "HEAD", "POST"]
allow_headers = ["authorization", "content-type"]
allow_credentials = true
max_age_secs = 600- Fluxheim лакальна адказвае на сапраўдныя CORS preflight-запыты; адхіленыя preflight-запыты вяртаюць
403, не дасягаючы праграмы. - Не спалучайце паходжанне з падстаноўным знакам з уліковымі дадзенымі.
- CORS не з'яўляецца аўтэнтыфікацыяй, аўтарызацыяй або CSRF-абаронай.
Production-нататкі
- Трымайце прыкладанне на loopback або ў прыватнай сетцы.
- Задайце request body limits перад адкрыццём uploads.
- Use trusted proxy settings only for networks you control.
- Аддавайце перавагу яўным routes замест аднаго вялікага fallback, калі розныя paths патрабуюць розных правілаў бяспекі.