域名白名单（Domain Whitelist）是一种网络安全策略，用于限制系统、应用或服务只能访问预先批准的域名列表。这种机制广泛应用于企业网络管理、Web 应用安全、API 调用控制、浏览器扩展、CDN 加速、SaaS 服务等多个场景中。

✅ 域名白名单的作用

1、增强安全性：防止用户或系统访问恶意网站。
2、内容过滤：只允许访问可信的内容源。
3、合规性要求：满足某些行业或法规对数据访问的限制。
4、资源控制：防止未经授权的 API 或资源调用。
5、防止数据泄露：限制敏感信息只能在指定域之间传输。

🛠️ 常见应用场景

| 场景 | 示例 |

| Web 安全（CSP） | 内容安全策略中限制脚本、图片等资源只能从指定域名加载 |
| API 接口调用 | 限制只有特定域名可以调用后端接口 |
| CDN 缓存 | 设置只缓存来自特定域名的内容 |
| 浏览器插件 | 插件只能在白名单中的网站上运行 |
| 企业内网代理 | 只允许访问公司授权的外部网站 |
| SaaS 平台 | 允许客户绑定自己的域名访问平台服务 |

🔧 如何设置域名白名单？

1、CSP（内容安全策略）示例
http
ContentSecurityPolicy: scriptsrc 'self' https://trustedcdn.com;

2、服务器配置（如 Nginx）
nginx
if ($host !~* ^(example.com|trustedsite.net)$) {
return 403;
}

3、Node.js Express 示例
javascript
const whitelist = ['https://example.com', 'https://trustedsite.net'];
app.use((req, res, next) = {
const origin = req.headers.origin;
if (whitelist.includes(origin)) {
res.header('AccessControlAllowOrigin', origin);
}
next();
});

4、云服务配置（如 AWS、阿里云）
在 API Gateway 中设置使用计划和 API 密钥，结合 IP/域名白名单。
使用 WAF 规则进行域名来源限制。

📌 注意事项

通配符使用要谨慎：如 `*.example.com` 可能包含子域名风险。
HTTPS 是必须的：避免中间人攻击。
定期更新白名单：确保白名单与业务变化同步。
测试环境与生产环境区分：避免误操作影响上线服务。

📚 示例白名单（仅供参考）

plaintext
example.com
www.example.com
api.trustedservice.org
cdn.provider.net
*.cloudflare.com

如果你有具体的使用场景（例如某个编程语言、框架、平台），欢迎告诉我，我可以提供更详细的配置方法。