Ограничения CORS срабатывает на уровне браузера. Поэтому со стороны сервера нужно отдавать правильные заголовки, и больше ничего. Разберемся от простого к более сложному.
Один домен
Чтобы разрешить CORS с адреса https://site.ru
, нужно отправить такие заголовки (это конфиг из Nginx).
add_header "Access-Control-Allow-Origin" "https://site.ru" always;
add_header "Access-Control-Allow-Headers" "Content-type, Authorization, X-Requested-With, Accept" always;
add_header "Access-Control-Allow-Methods" "GET, POST, PUT, PATCH, DELETE, OPTIONS" always;
Все домены
Могу предположить, этот заголовок не имеет значения, когда мы будет раздавать всем контент вне зависимости от origin
Да, в этом случае "Access-Control-Allow-Origin: *"
.
Только избранные домены
Но наверное чаще мы хотим отдавать контент только некоторым доверенным источникам
Нельзя взять и перечислить разрешенные домены через запятую. Только один. Поэтому Access-Control-Allow-Origin
должен зависеть от заголовка Origin
, который отправляет браузер. Это можно настроить либо на веб-сервере, либо в приложении (header('....')
в PHP).
Мне известно, что отсутствие заголовка origin - случай вполне возможный
Да. Этот заголовок браузер может не отправлять, потому что нет CORS запроса (https://site.ru/
запрашивает https://site.ru/api
, Origin не отправляется, так как домен тот же самый, отправлять Origin с точки зрения логики браузера бесполезно).
Полагаю, что в данном случае, когда origin не указан, мы должны вернуть ошибку Bad Request
Вот поэтому нет, нельзя так делать. Правильно:
- указан Origin - сравниваем со списком разрешенных - отдаем значение как в Origin, если в списке + добавляем
Vary: Origin
(об этом ниже). Если нет - основной домен, пусть сработает запрет CORS
- не указан Origin - заголовки
Access-Control-Allow-*
не отдаем, отдаем только Vary: Origin
(об этом ниже).
Vary: Origin
И вот еще один сюрприз: браузер кеширует заголовки Access-Control-Allow-*
. Поэтому вполне может быть такая неприятная ситуация. Или другая. Помним, что для браузера CORS наступает тогда, когда отличается либо протокол, либо порт, либо домен. Во всех случаях, когда один заголовок зависит от другого, нужно использовать заголовок Vary: ...
.
Если Access-Control-Allow-*
зависит от Origin
(случай для нескольких доменов), значит добавляем Vary: Origin
.
А вот если домен всего один (тот, откуда будут идти запросы) добавлять Vary: Origin
не надо, так как излишне.