CORS з ПОЧТОМ

Цю тему задавали пару раз, але я все ще чогось не розумію:

Коли я читаю відповіді про

Немає заголовка 'Access-Control-Allow-Origin'

проблема, це говорить параметр повинен бути встановлений на запитуваній сервері, щоб дозволити междоменной add_header 'Access-Control-Allow-Origin' '*';.

Але, будь ласка, скажіть мені, чому на запит у листоноші (а це клієнт), це працює як шарм, і я отримав відповідь із запитуваного сервера?

Дякую

Як коментує @Musa, здається, що причина в тому, що:

Листоноша не хвилює SOP, це інструмент розробника, а не браузер

До речі, ось розширення chrome , щоб воно працювало у вашому браузері (це для chrome, але ви можете знайти його як для FF, так і для Safari).

Перевірте тут, якщо ви хочете дізнатись більше про Cross-Origin та чому він працює для розширень.

Якщо ви користуєтесь веб-сайтом і заповнюєте форму для подання інформації (наприклад, номер свого соціального страхування), ви хочете бути впевнені, що інформація надсилається на той сайт, на який, на вашу думку, вона надсилається. Тож браузери були побудовані так, щоб за замовчуванням говорити: „Не надсилати інформацію домену, крім домену, який відвідують).

Згодом це стало занадто обмежуючим, але ідея за замовчуванням все ще залишається у браузерах. Не дозволяйте веб-сторінці надсилати інформацію в інший домен. Але це все перевірка браузера. Chrome, Firefox та ін. Мають вбудований код, який говорить: "перед тим, як надіслати цей запит, ми перевіримо, чи адресат відповідає відвідуваній сторінці".

У листоноші (або CURL на рядку cmd) немає вбудованих чеків. Ви взаємодієте із сайтом вручну, щоб мати повний контроль над тим, що надсилаєте.

CORS(Cross-Origin Resource Sharing) і SOP(Same-Origin Policy) - це конфігурації на стороні сервера, які клієнти вирішують застосувати чи ні .

Пов’язані з клієнтами

• Більшість браузерів застосовують його, щоб запобігти проблемам, пов’язаним з CSRFатакою.
• Більшість засобів розробки не піклуються про це.

Хоча всі відповіді тут - це справді гарне пояснення того, що таке cors, але прямою відповіддю на ваше запитання буде через наступні відмінності листоноші та браузера.

Браузер: надсилає OPTIONSвиклик для перевірки типу сервера та отримання заголовків перед відправкою будь-якого нового запиту до кінцевої точки API. Де це перевіряє Access-Control-Allow-Origin. Враховуючи це, Access-Control-Allow-Originзаголовок просто вказує, які всі КРОСОВІ ПОХОДЖЕННЯ дозволяються, хоча за замовчуванням браузер дозволить лише однакові джерела.

Листоноша: відправка прямої GET, POST, PUT, і DELETEт.д. запит без перевірки , який тип сервера є і отримувати заголовок Access-Control-Allow-Originза допомогою OPTIONSвиклику до сервера.

Як правило, Листоноша використовується для налагодження та використовується на стадії розробки. Але якщо ви хочете заблокувати це навіть у листоноші, спробуйте це.

    const referrer_domain = "[enter-the-domain-name-of-the-referrer]"
    //check for the referrer domain
    app.all('/*', function(req, res, next) {
      if(req.headers.referer.indexOf(referrer_domain) == -1){
        res.send('Invalid Request')
      }

      next();
    });

Використовуйте плагін браузера / chrome листоноша, щоб перевірити CORS / SOP як веб-сайт. Натомість використовуйте настільну програму, щоб уникнути цих елементів керування.