Die Prüfung finden, die Ihre Cross-Origin-Anfrage blockiert
Würde ein Browser Ihren Code diese Antwort lesen lassen? Und wenn nicht, welche Prüfung hat nein gesagt.
Das ist die Diagnose einer einzelnen Anfrage, kein Header-Abzug. Sie beschreiben den Aufruf, den Ihr Code macht - den Endpunkt, die Origin, auf der er läuft, die Methode, die gesetzten Header, ob er Credentials sendet - und das Tool sagt, ob ein Browser Sie die Antwort lesen ließe und welche Prüfung genau das entschieden hat.
Ein Server, der jeder Origin dieselbe Origin zurückgibt, sieht genauso aus wie eine korrekt konfigurierte Allowlist, solange Sie nur Ihre eigene testen. Eine Anfrage von einer Origin, die der Server nie gesehen hat, trennt die beiden Fälle, und das zählt, weil ein spiegelnder Server zusammen mit Credentials genau die Konfiguration ist, die eine Antwort für jede Seite lesbar macht, die der Nutzer besucht.
| Header | Mit Credentials |
|---|---|
| Access-Control-Allow-OriginKein Sternchen | Muss die Origin nennen. Ein Sternchen wird rundweg abgelehnt, auch neben Access-Control-Allow-Credentials: true. |
| Allow-Methods, Allow-Headers, Expose-HeadersWörtlich | Ein Sternchen ist kein Platzhalter mehr und wird als wörtlicher Header- oder Methodenname gelesen. |
| Access-Control-Allow-CredentialsErforderlich | Der einzige akzeptierte Wert ist die exakte Kleinschreibung true. |
Jeder Befund trägt einen Schweregrad, eine Kategorie, die Phase, aus der er stammt, den Beleg, auf dem er beruht, die betroffenen Header und eine Empfehlung. Die bestandenen Prüfungen stehen ebenfalls da, ein sauberes Ergebnis ist also sichtbar und nicht bloß leer. Zwei Regeln, denen die Empfehlungen folgen, weil der naheliegende Rat oft der falsche ist: nichts hier fordert Sie auf, eine Methode, einen Header oder eine Origin zu öffnen, nur damit ein rotes Feld verschwindet - ein blockiertes DELETE kann ein korrekt abgeriegelter Endpunkt sein - und nichts hier schlägt je vor, eine beliebige Origin zurückzuspiegeln. Die Antwort ist jedes Mal eine Allowlist.
CORS entscheidet, welche Origins eine Antwort innerhalb eines Browsers lesen dürfen. Es ist keine Authentifizierung, es vergibt keine Berechtigungen, und es verhindert keine Cross-Site Request Forgery, denn ein CSRF-Angriff muss die Antwort nie lesen. Jeder Client, der kein Browser ist, ignoriert es vollständig. Dieses Tool sagt das ausdrücklich, statt ein grünes Urteil andeuten zu lassen, Ihr Endpunkt sei geschützt.
Die wichtigsten Funktionen praxisnah erklärt.
Erlaubt oder blockiert, für genau die Methode, die Header, die Origin und den Credentials-Modus, die Sie beschreiben, mit der Prüfung, die es entschieden hat. Keine Liste von Headern, die Sie selbst deuten müssen.
Sechs Stufen, jede gemeldet, sobald sie feststeht. Der OPTIONS-Preflight geht so hinaus, wie ein Browser ihn senden würde, danach folgt die eigentliche Anfrage, denn der Preflight allein zeigt die CORS-Header der echten Antwort nie.
Eine Anfrage ist nur einfach, wenn die Methode GET, HEAD oder POST ist und jeder Header auf der CORS-Safelist steht, wobei Content-Type auf drei Werte begrenzt ist. Das Tool wendet die Regel an, statt zu raten, und genau daher kommt meist die überraschende OPTIONS-Anfrage.
Eine zusätzliche Anfrage von einer Origin, die der Server nie gesehen hat, trennt eine echte Allowlist von einem Server, der alles zurückspiegelt, was er bekommt. Diese beiden sehen identisch aus, wenn Sie nur Ihre eigene Origin testen.
Eine Wildcard-Origin wird ungültig, und Sternchen in Allow-Methods, Allow-Headers und Expose-Headers sind keine Platzhalter mehr, sondern wörtliche Namen. Die Analyse wendet den strengeren Regelsatz an, nicht den geläufigen.
Ein Browser startet seine CORS-Prüfung bei jeder Weiterleitung neu, also wird jeder Sprung erneut bewertet, bevor ihm gefolgt wird. Eine Kette, die an einem freizügigen Ort endet, kann in der Mitte trotzdem blockiert sein.
Bis zu zehn zusätzliche Origins gegen denselben Endpunkt getestet und als Tabelle gezeigt, der schnellste Weg zu bestätigen, dass lokal, Staging und Produktion auf der Allowlist stehen und sonst nichts.
Jeder trägt einen Schweregrad, eine Kategorie, die Phase, aus der er stammt, den Beleg dahinter und die betroffenen Header, neben den bestandenen Prüfungen. Keine Empfehlung fordert Sie auf, eine Methode, einen Header oder eine Origin zu öffnen, nur damit eine Warnung verschwindet.
Ein klarer Weg von der offiziellen Quelle bis zum ersten erfolgreichen Einsatz.
Nutzen Sie einen der offiziellen Links für Ihr Gerät oder Ihren Browser.
Folgen Sie den Store-Anweisungen oder öffnen Sie die Webanwendung. Keine Drittanbieter-Installer.
Prüfen Sie die Optionen, wählen Sie Ihre Einstellungen und beginnen Sie mit dem zentralen Workflow.
Ein transparenter Blick auf die Kerntechnologien für Entwicklung und Wartung dieses Produkts.
Ihre Daten bleiben auf Ihrem Gerät. Immer.
