Don & # 039; t Snore sur CORS

Parlons CORS - la fonctionnalité de sécurité Web préférée (ou la moins préférée) de chacun. J'ai lutté avec ça ces derniers temps, et c'est mon signal pour écrire un article de blog!

Le concept principal de CORS est simple: empêchez l'exécution du code d'origine croisée. Si css-tricks.com essaie de récupérer JavaScript à partir de any-other-website.com , le navigateur le bloque par défaut. Erreur de console? Oui, "pas autorisé".

L'exception? Le site Web Target envoie un en-tête accordant explicitement l'autorisation. Votre domaine est liste à blanc ou un joker permet l'accès. Il y a des nuances (bancs, des informations d'identification, etc.), mais la documentation MDN couvre bien ces derniers.

Mes plus gros maux de tête avec CORS découlent de son comportement apparemment incohérent. Deux demandes réussissent, le troisième échoue - reproductible, mais déroutant. (Peut-être qu'un équilibreur de charge avec des en-têtes à demi-cache? Qui sait!) Ou un proxy cesse soudainement de fonctionner. J'ai perdu le compte de la fois où j'ai débogu les problèmes de COR, facilement plus de 100.

Rencontres CORS récentes:

• Une vidéo «Learn Cors en 6 minutes» populaire (10 000 likes!) A metté en évidence une solution courante: npm install cors .
• Vous devez configurer des serveurs avec les en-têtes corrects. J'ai démontré cela dans une vidéo des travailleurs de CloudFlare (bien que les travailleurs de CloudFlare offrent un pontage croisé à l'origine croisée).
• L'excellent article de Jake Archibald "How to Gain at Cors", avec une aire de jeux.
• Les extensions du navigateur (Firefox, Chrome) existent pour injecter des en-têtes CORS - une solution de contournement discutable, mais compréhensible dans une pincée.
• Mon article précédent sur Proxying Fascid Ay Content (y compris JavaScript tiers) pour le faire en premier parti. Les commentaires ont souligné à juste titre que cela contourne la protection des CORS - risquée à moins que vous ne contrôliez pleinement la ressource tierce.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!