Reverse Proxy

Fluxheimをアプリケーションサーバーの前に置きます。FluxheimがTLS、ヘッダー、制限、アップストリーム選択を処理します。

Basic proxy

[[vhosts]]
name = "app"
hosts = ["app.example.com"]

[[vhosts.routes]]
path_prefix = "/"
action = "proxy"
upstreams = ["127.0.0.1:3000"]

ルート選択

機能	使う場面
`path_exact`	1つのURLに正確なルートが必要な場合。
`path_prefix`	URLサブツリー全体を1つのバックエンドへ送る場合。
`strip_prefix`	バックエンドに公開プレフィックスを見せたくない場合。
`rewrite_prefix`	バックエンドが別の内部プレフィックスを期待する場合。
`methods`	ルートが選択したHTTPメソッドだけを受け付けるべき場合。

パス書き換え例

[[vhosts.routes]]
name = "api"
path_prefix = "/api/"
strip_prefix = "/api/"
rewrite_prefix = "/internal/"

[vhosts.routes.proxy]
upstreams = ["10.0.0.20:8080"]
connect_timeout_secs = 5
read_timeout_secs = 30
send_timeout_secs = 30

ブラウザアプリ向けCORS

既知のオリジンにあるブラウザアプリからこのルートを呼び出す必要がある場合だけ、CORSを有効にしてください。

[headers.cors]
enabled = true
allow_origins = ["https://app.example.com"]
allow_methods = ["GET", "HEAD", "POST"]
allow_headers = ["authorization", "content-type"]
allow_credentials = true
max_age_secs = 600

Fluxheimは有効なプリフライトリクエストにローカルで応答します。拒否されたプリフライトはアプリケーションへ到達せず、403を返します。
ワイルドカードのオリジンと認証情報を併用しないでください。
CORSは、認証、認可、CSRF対策の代わりにはなりません。

本番運用メモ

アプリケーションはloopbackまたは非公開ネットワークに置きます。
アップロードを公開する前にリクエスト本文の制限を設定します。
Use trusted proxy settings only for networks you control.
異なるパスに異なる安全ルールが必要な場合、大きなフォールバック1つより明示的なルートを優先します。