本文详解如何通过 origin_regex: true 配合正则表达式，精准允许指定主域下的任意子域名（如 client1.example.com、api.example.com）访问 Symfony 应用的 /api/ 接口，避免使用通配符 * 带来的安全隐患。
本文详解如何通过 `origin_regex: true` 配合正则表达式，精准允许指定主域下的任意子域名（如 `client1.example.com`、`api.example.com`）访问 symfony 应用的 `/api/` 接口，避免使用通配符 `*` 带来的安全隐患。
NelmioCorsBundle 默认不支持 *.example.com 这类 Shell 风格的通配符语法——它仅接受明确列出的字符串或启用正则匹配模式。若需动态匹配所有子域名（如 app.example.com、dev.example.com、client123.example.com），必须启用 origin_regex: true，并配合符合 PCRE 规范的正则表达式。
以下为推荐配置（适用于 config/packages/nelmio_cors.yaml，兼容 Symfony 5+/6+）：
nelmio_cors:
defaults:
origin_regex: true
# 允许 https://example.com 及所有子域名（含端口可选）
allow_origin: ['^https?://(?:[a-zA-Z0-9_-]+\.)?example\.com(?::\d{1,5})?$']
allow_methods: ['GET', 'OPTIONS', 'POST', 'PUT', 'PATCH', 'DELETE']
allow_headers: ['Content-Type', 'Authorization', 'X-Requested-With', 'Cache-Control']
expose_headers: ['Link', 'X-Total-Count', 'X-Per-Page']
max_age: 3600
allow_credentials: true # 若前端需携带 Cookie 或认证凭据，此项必须为 true
paths:
'^/api/': ~ # 应用于所有 /api/ 开头的路由✅ 关键说明：
-
origin_regex: true必须定义在defaults级别（而非paths下），否则正则不生效； - 正则
^https?://(?:[a-zA-Z0-9_-]+\.)?example\.com(?::\d{1,5})?$含义：-
https?→ 匹配http或https； -
(?:[a-zA-Z0-9_-]+\.)?→ 非捕获组，匹配零个或一个子域名前缀（如api.、test.），支持字母、数字、下划线、短横线； -
example\.com→ 字面量主域名（注意双反斜杠转义）； -
(?::\d{1,5})?→ 可选端口（如:8080）；
-
-
allow_credentials: true与allow_origin正则共存时，*禁止使用 ``**，否则浏览器将拒绝响应（CORS 安全策略限制）； - 若需同时支持
http和https，请勿省略http?—— 生产环境虽应强制 HTTPS，但本地开发或测试子域可能依赖 HTTP。
⚠️ 注意事项：
- 正则中不要遗漏
^和$锚点，否则可能意外匹配到相似域名（如evil-example.com）； - 修改配置后务必清除 Symfony 缓存：
php bin/console cache:clear --env=prod（生产环境）； - 可通过浏览器开发者工具的 Network 标签页，检查预检请求（OPTIONS）响应头中
Access-Control-Allow-Origin的值是否与当前源完全匹配； - 如需调试正则，建议先在 regex101.com 中验证表达式逻辑。
综上，通过启用正则匹配并编写严谨的域名规则，你既能实现灵活的子域授权，又能保持接口级安全性——这是比全局 * 更专业、更可控的 CORS 实践方案。
