4

Мне известно, что отсутствие заголовка origin - случай вполне возможный.

Могу предположить, этот заголовок не имеет значения, когда мы будет раздавать всем контент вне зависимости от origin. Но наверное чаще мы хотим отдавать контент только некоторым доверенным источникам. Полагаю, что в данном случае, когда origin не указан, мы должны вернуть ошибку Bad Request.

Кроме того, этот заготовок нам нужен, если мы хотим поддерживать поддомены. Наверное в данном случае тоже нужно возвращать Bad Request, если origin не указан.

Это всё, что я знаю об origin на данный момент.

В данном вопросе я даже не прошу не писать никакого кода, прошу лишь Вас объяснить некоторые теоретические данные, на основе которых я уже сам составлю алгоритм и напишу код.

2 ответа 2

4
+50

Ограничения CORS срабатывает на уровне браузера. Поэтому со стороны сервера нужно отдавать правильные заголовки, и больше ничего. Разберемся от простого к более сложному.

Один домен

Чтобы разрешить CORS с адреса https://site.ru, нужно отправить такие заголовки (это конфиг из Nginx).

add_header "Access-Control-Allow-Origin" "https://site.ru" always;
add_header "Access-Control-Allow-Headers" "Content-type, Authorization, X-Requested-With, Accept" always;
add_header "Access-Control-Allow-Methods" "GET, POST, PUT, PATCH, DELETE, OPTIONS" always;

Все домены

Могу предположить, этот заголовок не имеет значения, когда мы будет раздавать всем контент вне зависимости от origin

Да, в этом случае "Access-Control-Allow-Origin: *".

Только избранные домены

Но наверное чаще мы хотим отдавать контент только некоторым доверенным источникам

Нельзя взять и перечислить разрешенные домены через запятую. Только один. Поэтому Access-Control-Allow-Origin должен зависеть от заголовка Origin, который отправляет браузер. Это можно настроить либо на веб-сервере, либо в приложении (header('....') в PHP).

Мне известно, что отсутствие заголовка origin - случай вполне возможный

Да. Этот заголовок браузер может не отправлять, потому что нет CORS запроса (https://site.ru/ запрашивает https://site.ru/api, Origin не отправляется, так как домен тот же самый, отправлять Origin с точки зрения логики браузера бесполезно).

Полагаю, что в данном случае, когда origin не указан, мы должны вернуть ошибку Bad Request

Вот поэтому нет, нельзя так делать. Правильно:

  • указан Origin - сравниваем со списком разрешенных - отдаем значение как в Origin, если в списке + добавляем Vary: Origin (об этом ниже). Если нет - основной домен, пусть сработает запрет CORS
  • не указан Origin - заголовки Access-Control-Allow-* не отдаем, отдаем только Vary: Origin (об этом ниже).

Vary: Origin

И вот еще один сюрприз: браузер кеширует заголовки Access-Control-Allow-*. Поэтому вполне может быть такая неприятная ситуация. Или другая. Помним, что для браузера CORS наступает тогда, когда отличается либо протокол, либо порт, либо домен. Во всех случаях, когда один заголовок зависит от другого, нужно использовать заголовок Vary: ....

Если Access-Control-Allow-* зависит от Origin (случай для нескольких доменов), значит добавляем Vary: Origin.

А вот если домен всего один (тот, откуда будут идти запросы) добавлять Vary: Origin не надо, так как излишне.

1
  • 1
    Благодарю Вас за замечательную лекцию! Принял Вас вопрос и сделал Вас победителем конкурса. 31 июл 2021 в 3:14
2

Думаю, лучше всего читать про CORS (Cross Origin Resource Sharing) и Origin на https://developer.mozilla.org/, пока это самый актуальный и достоверный источник, который я знаю. CORS - это механизм для браузеров, позволяющий сайту, работающему в источнике A(http://mysite.com), запрашивать ресурсы из источника B(http://yoursite.com).

Здесь рассказывается о том что это такое. Если коротко, то заголовок Origin содержит именно источник (домен/протокол/порт), без пути.

Сервер может проверить Origin и, если он согласен принять такой запрос, добавит особый заголовок Access-Control-Allow-Origin к ответу. Этот заголовок должен содержать разрешённый источник или звёздочку *. Тогда ответ успешен, в противном случае возникает ошибка. введите сюда описание изображения (Источник)

Access-Control-Allow-Origin - это тоже заголовок CORS. Вот пример значений, которые вы можете установить:

  • Access-Control-Allow-Origin : * : Разрешает всем.
  • Access-Control-Allow-Origin : http://mysite.com : Разрешить запросы только с mysite.com.

Т.е. если http://mysite.com сделает запрос на http://yoursite.com, то http://mysite.com получит ответ, т.к. ему можно, а если http://somesite.com сделает запрос на http://yoursite.com, то ему вернется ошибка

Access to fetch at 'http://somesite.com' from origin 'http://yoursite.com' has been blocked by CORS policy: The 'Access-Control-Allow-Origin' header has a value that is not equal to the supplied origin

Здесь можно почитать подробнее + есть примеры кода

2
  • Благодарю Вас за ответ! А что же делать в случае, когда заголовок Origin отсутствует? 29 июл 2021 в 23:51
  • Вижу, что уже неактуально) В ответе выше все отлично расписано)
    – Vetedde
    31 июл 2021 в 4:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.