0

К сожалению, каноническое определение из Википедии не дало мне глубинного понимания, что такое CORS, а также каких практический действий от меня требует существование данной технологии. Но вот уже в самом начале обучения серверному программирования на NodeJS пришлось иметь с этим дело.

На клиентской стороне у меня такой вот тестовый код, из которого понятно, что сервер запущен на порте 1337 локального хоста:

fetch("http://localhost:1337/api/products").
  then(async(response: Response): Promise<unknown> => {
    console.log(response);
    return response.json();
  }).
  then((parsedJSON: unknown): void => {
    console.log(parsedJSON);
  }).
  catch((error: Error): void => {
    console.error(error);  
});

При этом другой статический сервер, отвечающий за перезагрузку страницы браузера по мере новых сборок приложения, работает на порте 3000. Вот, модуль HTTP NodeJS отреагирует при таком раскладе на попытку отправить запрос http://localhost:1337/api/products:

Access to fetch at 'http://localhost:1337/api/products' from origin 'http://localhost:3000' 
has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the 
requested resource. If an opaque response serves your needs, set the request's mode to 
'no-cors' to fetch the resource with CORS disabled.

Из этого сообщения начинает выстраиваться практическое понимание технологии. Полагаю, что если на продакшене сервер обслуживает хост example.com, то запрос будет "http://example.com/api/products". Здесь же, насколько я понял, сервер недоволен тем, что он получил запрос http://localhost:3000, когда он обслуживает http://localhost:1337.

Уверен, эту проверку можно отключить тем или иным способом, но даже в условиях локальной разработке этого в целях безопасности лучше не делать. Полагаю, в большинстве случаем мы не хотим, чтобы нам запросы шли откуда попало. Отсюда возникает вопрос: руководствуясь какими принципами, следует настраивать CORS на серверной стороне?

Ничего страшного, если Ваш язык - не NodeJS, меня интересует концепция, а её реализацией на NodeJS я сам займусь.

2 ответа 2

1
+50

Когда-то давно браузеры не позволяли управлять запросами на сервер. Вы могли разместить на сайте только ссылку или форму. Только GET или POST-запрос без доступа к заголовкам. Это вселяло уверенность с некоторых разработчиков, что другие запросы из браузера выполняться никогда не будут.

Сейчас мы можем отправлять любые HTTP-запросы из браузера, написав немного js-кода. Чтобы не огорчить тех, кто не предполагал такого развития событий, новую функциональность прикрыли CORS. Если мы хотим отправить запрос на другой сайт не через ссылку или форму, то браузер проверит, готов ли тот сайт к такому повороту событий. Если сайт не шлёт заголовки разрешающие доступ, то браузер считает, что сайт не готов, и завершает запрос с ошибкой.

Важно понимать, что всё это работает только в браузере. Если выполнить запрос как-нибудь иначе (например curl), то ограничения присланные в ответе можно спокойно игнорировать. То есть CORS не закрывает ваш сайт от посторонних запросов. CORS ограничивает только запросы из браузера.

Для чего же это тогда нужно? Если ваш сайт (api) организован с учётом того, что кто угодно в мире, может к нему как угодно обращаться (а для этого и нужен интернет), то CORS -- это просто раздражающий костыль. Я не могу придумать ни одной проблемы, которую по-настоящему бы решали ограничения CORS. Если вам надо ограничить доступ к своим ресурсам, то надо использовать всевозможные средства авторизации и фаерволы. Для защиты от CSRF используйте токены.

Я бы рекомендовал разрешать всё и всем (Access-Control-Allow-Origin: * и прочее), если вы понимаете, как это работает. Если HTTP и взаимодействие браузера и сервера кажутся для вас чем-то загадочным, то можете ограничить доступ только со своих доменов.

Чтобы вы ни выбрали вам потребуется добавить заголовки Access-Control-Allow-Origin в GET и POST-ручки (если вы собираетесь ходить на них из js'а браузера), добавить ручку (или несколько) для обработки OPTIONS-запросов (подробности можно подглядеть в доке mdn).

1
  • Благодарю Вас за небольшую лекцию! Подобное объяснение от ветерана веб-разработки - как раз, что мне нужно было. 6 мар 2021 в 23:45
1

Не сильно разбираюсь в вопросе, но многое зависит от того кого и как вы хотите пропускать на сервер (какие запросы, откуда)... Я не претендую на награду, поэтому просто пройдите по ссылке и внимательно почитайте. https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS - english https://developer.mozilla.org/ru/docs/Web/HTTP/CORS - русский

Возможно еще стоит поиграться с предзапросами.

1
  • Благодарю Вас за ответ! Несмотря на то, что награду дать Вам не могу, плюсик поставлю. 6 мар 2021 в 23:46

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.