1

Есть сайт на хостинге, к которому нужно подключить платежную систему. К API платежной системы есть документация:

URL адрес тестового eCommerce хоста, на который необходимо отправлять запросы:

https://test3ds.bcc.kz:5445/cgi-bin/cgi_link

Хост всегда доступен, отдельных доступов запрашивать не нужно.

Однако мне не удается отправить POST-запрос через js к этому ресурсу. Ошибка:

Access to fetch at 'https://test3ds.bcc.kz:5445/cgi-bin/cgi_link' from origin 'null' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource. If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled.

(с самого сайта тоже не получается получить доступ)

Причем с помощью онлайн ресурсов (https://reqbin.com/post-online) все получается, доступ к серверу осуществляется, ответ приходит верный. На данном ресурсе заголовки и тело запроса использую те же, что и при отправке запроса с помощью js. Как решить данную проблему?

7
  • Возможный дубликат уже существующих семидесяти двух вопросов о том же самом :)
    – yar85
    22 авг 2021 в 15:37
  • Добрый вечер! Я бы не сказал, что о том, же самом. У меня же нет доступа к серверу, к которому я обращаюсь, не я его писал. Поэтому я не смогу прописать там необходимые заголовки. Наверно стоит обратиться к разработчикам этого API? Или я все-таки что-то где-то упустил? 22 авг 2021 в 18:45
  • 1
    Ну вот, это типичный кроссдоменный запрос (ipotekavsem.kz != test3ds.bcc.kz:5445), так что же здесь делает проблему уникальной? В тексте ошибки говорится что целевой эндпоинт не разрешает кроссдоменные запросы (либо ресурс их разрешает но делаешь что-то не так, например не на тот URL шлешь запрос - либо ресурс не разрешает и это ожидаемое поведение).
    – yar85
    24 авг 2021 в 3:40
  • 1
    Агрегаторы и подобные сервисы могут специально не разрешать кроссдоменные AJAX, просто для того чтобы защитить нерадивых клиентов от самих себя (чтобы те отправляли запросы безопасно, со своих серверов - а не со страничек, открывая XSS уязвимости). В документации вебAPI должно быть четко указано, как надо обращаться к нему. Если же в доках такого не указано (крайне редко такое бывает), то этот момент все равно можно прояснить: обратившись в службу поддержки клиентов того сервиса. А чисто технически - тут все правильно работает, и никакой проблемы не просматривается.
    – yar85
    24 авг 2021 в 3:50
  • 1
    Надо понимать что CORS это политика для юзерагента (браузера, например). Она внедрена и существует не во вред, а для повышения безопасности передачи данных в интернете. Поэтому, очень плохой идеей будет пытаться обойти ее - гораздо лучше последовать верному пути, передавая все чувствительные данные безопасно (типичная схема взаимодействия: страница с CSP шлет запрос на свой же бэкэнд с CORS, и далее этот бэкэнд делает запросы к эндпоинтам внешнего сервиса, также защищенным CORS... так, в собственных скриптах все работает, а посторонние злые скрипты в этот процесс "влезть" так просто не могут).
    – yar85
    24 авг 2021 в 4:03

1 ответ 1

0

Вам нужно прописать соответствующий заголовок на своём сервере. Вот тут подробно об этом: https://developer.mozilla.org/ru/docs/Web/HTTP/CORS/Errors/CORSMissingAllowOrigin

6
  • И как же это сделать, если нет доступа к серверу?) 22 авг 2021 в 18:39
  • @Платон, так... "есть сайт на хостинге..." Чей сайт? Не Ваш? У вас к нему доступа нет? Вы совершаете запрос с клиентской стороны... Окей. А как Вы получили возможность его оттуда совершать? Вероятно потому что это Ваш сайт на хостинге... Проясните ситуацию. 22 авг 2021 в 18:56
  • заголовки, о которых ведется речь в статье, которую вы скинули, прописываются на сервере К которому происходит обращение сетевого запроса. К этому серверу доступа у меня нет, это сервер платежной системы. А к своему сайту, ОТКУДА я выполняю запрос, у меня доступ есть. @Иван 23 авг 2021 в 14:01
  • 1
    @Платон тогда делайте запрос не с клиента с сервера своего. Сначала делаете запрос на свой сервер оттуда к API. потом давайте ответ клиенту 23 авг 2021 в 15:31
  • Действительно, так получилось отправить запрос. А почему это происходит? С фронта запрос не удается совершить, а с сервера все работает? Это мой косяк, косяк разработчиков API, или вообще так и должно быть? @Иван 23 авг 2021 в 15:46

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.