Znajdź kontrolę, która blokuje Twoje żądanie cross-origin
Czy przeglądarka pozwoli Twojemu kodowi odczytać tę odpowiedź? A jeśli nie, to która kontrola powiedziała nie.
To diagnoza jednego żądania, a nie zrzut nagłówków. Opisujesz wywołanie, które robi Twój kod - punkt końcowy, origin, na którym działa, metodę, ustawiane nagłówki, to, czy wysyła poświadczenia - a narzędzie mówi, czy przeglądarka pozwoli Ci odczytać odpowiedź i która konkretnie kontrola o tym zdecydowała.
Serwer, który każdemu origin odpowiada tym samym origin, wygląda identycznie jak poprawnie skonfigurowana lista dozwolonych, jeżeli testujesz wyłącznie własny adres. Jedno żądanie z origin, którego serwer nigdy nie widział, rozdziela te dwa przypadki, a ma to znaczenie, bo serwer odbijający origin w połączeniu z poświadczeniami to konfiguracja, przez którą odpowiedź staje się czytelna dla każdej strony odwiedzanej przez użytkownika.
| Nagłówek | Z poświadczeniami |
|---|---|
| Access-Control-Allow-OriginBez gwiazdki | Musi wskazać origin. Gwiazdka jest odrzucana, nawet obok Access-Control-Allow-Credentials: true. |
| Allow-Methods, Allow-Headers, Expose-HeadersDosłownie | Gwiazdka przestaje być symbolem wieloznacznym i jest czytana jako dosłowna nazwa nagłówka albo metody. |
| Access-Control-Allow-CredentialsWymagany | Jedyną przyjmowaną wartością jest dokładny ciąg true, małymi literami. |
Każde ustalenie niesie ważność, kategorię, fazę, z której pochodzi, dowód, na którym się opiera, nagłówki, których dotyczy, i zalecenie. Wypisane są też kontrole, które przeszły, więc czysty wynik jest widoczny, a nie po prostu pusty. Dwie zasady, którymi kierują się zalecenia, bo oczywista rada bywa złą radą: nic tutaj nie każe Ci otworzyć metody, nagłówka ani origin tylko po to, żeby zniknął czerwony komunikat - zablokowany DELETE może być poprawnie zamkniętym punktem końcowym - i nic tutaj nigdy nie proponuje odbijania dowolnego Origin. Odpowiedzią jest lista dozwolonych, za każdym razem.
CORS decyduje, które origin mogą odczytać odpowiedź wewnątrz przeglądarki. Nie jest uwierzytelnianiem, nie przyznaje uprawnień i nie powstrzymuje ataków CSRF, bo atak CSRF nigdy nie musi odczytać odpowiedzi. Każdy klient, który nie jest przeglądarką, całkowicie to ignoruje. To narzędzie mówi o tym wprost, zamiast pozwolić, by zielony werdykt sugerował, że Twój punkt końcowy jest chroniony.
Najważniejsze możliwości opisane w praktyczny sposób.
Dozwolone albo zablokowane, dla dokładnie tej metody, nagłówków, origin i trybu poświadczeń, które opisujesz, z nazwaną kontrolą, która o tym zdecydowała. To nie jest lista nagłówków zostawiona Ci do interpretacji.
Sześć etapów, każdy raportowany w chwili zakończenia. Preflight OPTIONS jest wysyłany tak, jak wysłałaby go przeglądarka, a po nim idzie właściwe żądanie, bo sam preflight nigdy nie pokazuje nagłówków CORS na prawdziwej odpowiedzi.
Żądanie jest proste tylko wtedy, gdy metodą jest GET, HEAD albo POST, a każdy nagłówek należy do listy bezpiecznej CORS, przy czym Content-Type ogranicza się do trzech wartości. Narzędzie stosuje regułę, zamiast zgadywać, a to zwykle stąd bierze się niespodziewane żądanie OPTIONS.
Jedno dodatkowe żądanie z origin, którego serwer nigdy nie widział, oddziela prawdziwą listę dozwolonych od serwera odbijającego wszystko, co dostanie. Te dwa przypadki wyglądają identycznie, jeżeli testujesz wyłącznie własny origin.
Gwiazdka w origin przestaje być poprawna, a gwiazdki w Allow-Methods, Allow-Headers i Expose-Headers przestają być symbolami wieloznacznymi i są czytane jako dosłowne nazwy. Analiza stosuje ostrzejszy zestaw reguł, a nie ten powszechnie znany.
Przeglądarka zaczyna kontrolę CORS od nowa przy każdym przekierowaniu, więc każdy skok jest oceniany ponownie, zanim zostanie wykonany. Łańcuch kończący się w miejscu pobłażliwym i tak może zostać zablokowany po drodze.
Do dziesięciu dodatkowych origin sprawdzonych wobec tego samego punktu końcowego i pokazanych w tabeli, co jest najszybszym sposobem, żeby potwierdzić, że lokalne, testowe i produkcyjne są na liście dozwolonych i nic ponad to.
Każde niesie ważność, kategorię, fazę, z której pochodzi, dowód, który za nim stoi, i nagłówki, których dotyczy, obok kontroli, które przeszły. Żadne zalecenie nie każe otwierać metody, nagłówka ani origin tylko po to, żeby zniknęło ostrzeżenie.
Prosta droga od oficjalnego źródła do pierwszego udanego użycia.
Skorzystaj z jednego z oficjalnych odnośników dostępnych dla Twojego urządzenia lub przeglądarki.
Postępuj zgodnie z instrukcjami sklepu lub otwórz aplikację internetową. Bez zewnętrznych instalatorów.
Sprawdź dostępne opcje, wybierz preferencje i rozpocznij od podstawowego zastosowania.
Przejrzysty opis głównych technologii użytych do budowy i utrzymania produktu.
Twoje dane pozostają na Twoim urządzeniu. Zawsze.
